CVE-2026-79957 in ServiceNext
Zusammenfassung
von VulDB • 14.10.2026
ServiceNext weist eine unsichere direkte Objektreferenz (IDOR) im Endpunkt /api/Usuario/GetUsuarios auf, die eine benutzerkontrollierte numerische ID im Anfragekörper akzeptiert, ohne zu überprüfen, ob das authentifizierte Token zum angeforderten Konto gehört (CWE-639). Jeder authentifizierte Benutzer kann den ID-Parameter iterieren, um den vollständigen Profildatensatz jedes anderen Benutzers abzurufen, einschließlich in Klartext gespeicherter Passwörter (CWE-256), was Account-Takeover und Credential-Stuffing-Angriffe ermöglicht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.