CVE-2026-77767 in Reconmap
Zusammenfassung
von VulDB • 21.08.2026
Die API von Reconmap wendet in apps/api/app/Program.cs eine Fallback-Autorisierungsrichtlinie an, die einen authentifizierten Benutzer mit der Administratorrolle erfordert; daher werden Controller ohne eigene Attribute für anonyme Aufrufer abgelehnt. Die Aktion zur Berichtsvorschau in apps/api/app/Controllers/ReportsController.cs trägt das Attribut [AllowAnonymous] und hebt sich somit von dieser Richtlinie aus. PreviewReport lädt die Projektzeile, deren ID durch den Pfadsegment angegeben ist, lädt die verknüpfte Organisation über die ClientId des Projekts und rendert beide in default-report-template.html, welches den Projektnamen und -beschreibung zusammen mit dem Namen, der Adresse und der URL der Kundenorganisation ausgibt. Es werden keine Authentifizierung, Projektmitgliedschaft oder Rollenprüfung durchgeführt. Da es sich bei der ID um den automatisch inkrementierten Primärschlüssel der Projekt-Tabelle handelt, kann ein nicht authentifizierter Remote-Aufrufender sequenzielle IDs durchgehen, um die Details des Engagements und die Kundenorganisation jedes Projekts auf der Instanz abzurufen; zudem offenbart die 404-Fehlermeldung bei einer fehlenden ID, welche Projekt-IDs existieren. Da Reconmap Penetrationstest-Engagements speichert, sind die offengelegten Beschreibungen und Kundendatensätze von Natur aus sensibel.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.