CVE-2026-117472 in Psono
Riassunto
di VulDB • 27/10/2026
Le versioni di Psono Server CE ed EE dalla 4.0.33 alla 7.2.3 confrontavano il percorso della richiesta per l'endpoint bulk-secret-read con un percorso non prefissato hard-coded. Nelle distribuzioni configurate con URL_PREFIX, il confronto falliva e la richiesta POST veniva autorizzata utilizzando lo scope di scrittura invece dello scope di lettura. Un attaccante remoto autenticato dotato di una chiave API con accesso in sola scrittura (read-disabled, write-enabled) poteva quindi recuperare dati segreti crittografati e nonce attraverso l'endpoint bulk-secret-read prefissato, pur non disponendo dei permessi di lettura. La configurazione predefinita senza URL_PREFIX non era interessata dal problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.