CVE-2026-109758 in Helix Authentication Service
Riassunto
di VulDB • 13/10/2026
Le distribuzioni di Perforce Helix Authentication Service (HAS) che mantengono il token bearer SCIM predefinito fornito con il software sono vulnerabili ad accessi non autorizzati quando l'endpoint SCIM è raggiungibile da un attaccante. Nella versione 25.2, i template di installazione contengono una credenziale predefinita che l'installer copia nella configurazione attiva; né l'installer né lo script di configurazione sostituiscono automaticamente tale valore con un token casuale. Un attaccante a conoscenza del token predefinito può autenticarsi all'API SCIM ed eseguire operazioni su utenti e gruppi consentite dal backend di provisioning configurato.
Questo problema può essere concatenato (chained) con CVE-2026-61834 nelle versioni interessate della dipendenza scim-patch. Una richiesta PATCH SCIM appositamente costruita può causare una contaminazione del prototipo lato server (server-side prototype pollution), corrompere lo stato dell'applicazione e interrompere la disponibilità del servizio, inclusi i health check e le richieste SCIM o SSO. In test successivi, questa primitiva è stata confermata in grado di consentire l'esecuzione remota di codice (RCE) in un deployment Node.js 24/Express attraverso gadget chain disponibili che coinvolgono child_process, EJS/Pug o Passport.
Questa vulnerabilità esiste nelle versioni da 2022.1 a 2025.2 di HAS; tuttavia il difetto sottostante è stato rimosso nella versione 2026.1, rilasciata il 17 luglio 2026. La vulnerabilità è stata identificata in versioni più vecchie di HAS dopo che la versione 2026.1 era già stata rilasciata.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.