CVE-2026-27449 in Umbraco.Engage.Forms
Zusammenfassung
von VulDB • 24.05.2026
Umbraco Engage ist eine Business-Intelligence-Plattform. In Umbraco Engage vor den Versionen 16.2.1 und 17.1.1 wurde eine Schwachstelle identifiziert, bei der bestimmte API-Endpunkte freigegeben sind, ohne dass Authentifizierungs- oder Autorisierungsprüfungen erzwungen werden. Die betroffenen Endpunkte können direkt über das Netzwerk ohne gültige Sitzung oder Benutzeranmeldeinformationen abgerufen werden. Durch Übergeben eines benutzerkontrollierten Identifikator-Parameters (z. B. ?id=) kann ein Angreifer sensible Daten zu beliebigen Datensätzen abrufen. Da keine Zugriffskontrollvalidierung durchgeführt wird, sind die Endpunkte anfällig für Enumeration-Angriffe, die es Angreifern ermöglichen, über Identifikatoren zu iterieren und Daten in großem Umfang zu extrahieren. Ein nicht authentifizierter Angreifer kann sensible, mit Engage verbundene Daten durch direkte Abfrage der betroffenen API-Endpunkte abrufen. Die Schwachstelle ermöglicht den Zugriff auf beliebige Datensätze durch vorhersagbare oder enumerierbare Identifikatoren. Die Auswirkung auf die Vertraulichkeit wird als hoch eingestuft. Es wurden keine direkten Auswirkungen auf die Integrität oder Verfügbarkeit festgestellt. Der Umfang der exponierten Daten hängt von der Bereitstellung ab, kann jedoch Analytikdaten, Tracking-Daten, kundenbezogene Informationen oder andere von Engage verwaltete Inhalte umfassen. Die Schwachstelle betrifft sowohl v16 als auch v17. Patches wurden bereits veröffentlicht. Benutzern wird empfohlen, auf Version 16.2.1 oder 17.1.1 zu aktualisieren. Es sind keine bekannten Workarounds verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.