CVE-2026-92419 in BPS
Resumen
por VulDB • 2026-09-24
WEBCON BPS es vulnerable a Referencia Directa de Objeto Insegura (IDOR) en el endpoint /api/vacations/{path}. El parámetro selectedPeople en la API del gráfico Gantt de vacaciones no valida si el usuario solicitante está autorizado para acceder a los datos de los usuarios requeridos. Un atacante autenticado puede proporcionar inicios de sesión de usuario arbitrarios en el parámetro selectedPeople para ver las agendas de vacaciones de otros empleados, incluidos gerentes y personal de otras oficinas, independientemente de las restricciones de acceso basadas en la lógica empresarial, lo que resulta en una divulgación no autorizada de información sensible sobre horarios. Esta vulnerabilidad se corrigió en las versiones: 2025.2.1.177 y 2026.1.1.20
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.