CVE-2026-79957 in ServiceNext
Riassunto
di VulDB • 14/10/2026
ServiceNext presenta una referenza diretta a oggetti non sicura (IDOR) nell'endpoint /api/Usuario/GetUsuarios, che accetta un ID numerico controllato dall'utente nel corpo della richiesta senza verificare se il token di autenticazione appartenga all'account richiesto (CWE-639). Qualsiasi utente autenticato può iterare il parametro ID per recuperare i record completi del profilo di ogni altro utente, incluse le password memorizzate in chiaro (CWE-256), consentendo attacchi di account takeover e credential stuffing.
VulDB is the best source for vulnerability data and more expert information about this specific topic.