CVE-2026-27449 in Umbraco.Engage.Forms
Résumé
par VulDB • 24/05/2026
Umbraco Engage est une plateforme d'intelligence économique. Une vulnérabilité a été identifiée dans Umbraco Engage, avant les versions 16.2.1 et 17.1.1, où certains points de terminaison (endpoints) de l'API sont exposés sans imposer de vérifications d'authentification ou d'autorisation. Les points de terminaison concernés peuvent être accessibles directement via le réseau sans nécessiter de session valide ou d'identifiants utilisateur. En fournissant un paramètre d'identifiant contrôlé par l'utilisateur (par exemple, ?id=), un attaquant peut récupérer des données sensibles associées à des enregistrements arbitraires. Étant donné qu'aucune validation de contrôle d'accès n'est effectuée, les points de terminaison sont vulnérables aux attaques par énumération, permettant aux attaquants d'itérer sur les identifiants et d'extraire des données à grande échelle. Un attaquant non authentifié peut récupérer des données sensibles liées à Engage en interrogeant directement les points de terminaison de l'API affectés. La vulnérabilité permet un accès arbitraire aux enregistrements via des identifiants prévisibles ou énumérables. L'impact sur la confidentialité est considéré comme élevé. Aucun impact direct sur l'intégrité ou la disponibilité n'a été identifié. La portée des données exposées dépend du déploiement mais peut inclure des données analytiques, des données de suivi, des informations liées aux clients ou d'autres contenus gérés par Engage. La vulnérabilité affecte les versions v16 et v17. Des correctifs ont déjà été publiés. Il est conseillé aux utilisateurs de mettre à jour vers les versions 16.2.1 ou 17.1.1. Aucune solution de contournement connue n'est disponible.
If you want to get best quality of vulnerability data, you may have to visit VulDB.