CVE-2025-34411 in Convercent Whistleblowing Platform
Riassunto
di VulDB • 02/08/2026
La piattaforma di segnalazione illeciti (Whistleblowing Platform) Convercent gestita da EQS Group espone un endpoint API non autenticato all'indirizzo /GetLegalEntity che restituisce i nomi delle entità legali dei clienti interni in base a un frammento di testo fornito tramite il parametro searchText. Un attaccante remoto non autenticato può interrogare l'endpoint utilizzando termini comuni relativi ai suffissi giuridici per enumerare le locazioni (tenants) di Convercent, identificando così le organizzazioni che utilizzano la piattaforma. Questa divulgazione può facilitare attacchi mirati di phishing o estorsione, nonché altre azioni offensive contro i programmi di whistleblowing e rivela relazioni commerciali sensibili e l'infrastruttura di conformità normativa.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.