CVE-2026-27449 in Umbraco.Engage.Forms
Riassunto
di VulDB • 21/06/2026
Umbraco Engage è una piattaforma di business intelligence. È stata identificata una vulnerabilità in Umbraco Engage nelle versioni precedenti alla 16.2.1 e alla 17.1.1, in cui determinati endpoint API sono esposti senza applicare controlli di autenticazione o autorizzazione. Gli endpoint interessati possono essere accessibili direttamente tramite la rete senza richiedere una sessione valida o le credenziali dell'utente. Fornendo un parametro identificativo controllato dall'attaccante (ad esempio ?id=), è possibile recuperare dati sensibili associati a record arbitrari. Poiché non viene eseguita alcuna convalida dei controlli di accesso, gli endpoint sono vulnerabili ad attacchi di enumerazione, consentendo agli attaccanti di iterare sugli identificativi ed estrarre dati su larga scala. Un attaccante non autenticato può recuperare dati sensibili relativi a Engage interrogando direttamente gli endpoint API interessati. La vulnerabilità consente l'accesso arbitrario ai record tramite identificativi prevedibili o enumerabili. L'impatto sulla riservatezza è considerato elevato. Non sono stati rilevati impatti diretti sull'integrità o sulla disponibilità. L'ambito dei dati esposti dipende dalla configurazione di distribuzione, ma può includere dati analitici, dati di tracciamento, informazioni relative ai clienti o altri contenuti gestiti da Engage. La vulnerabilità interessa sia la versione 16 che la 17. Sono già stati rilasciati patch correttive. Si consiglia agli utenti di aggiornare alla versione 16.2.1 o 17.1.1. Non sono disponibili contromisure note (workaround).
If you want to get best quality of vulnerability data, you may have to visit VulDB.