CVE-2026-27449 in Umbraco.Engage.Forms
要約
〜によって VulDB • 2026年05月24日
Umbraco Engageはビジネスインテリジェンスプラットフォームです。バージョン16.2.1および17.1.1以前のUmbraco Engageにおいて、認証または認可チェックを強制せずに特定のAPIエンドポイントが公開されている脆弱性が特定されました。影響を受けるエンドポイントは、有効なセッションやユーザー資格情報を必要とせずに、ネットワーク経由で直接アクセス可能です。ユーザーが制御可能な識別子パラメータ（例：?id=）を指定することで、攻撃者は任意のレコードに関連する機密データを取得できます。アクセス制御の検証が行われないため、エンドポイントは列挙攻撃に対して脆弱であり、攻撃者は識別子をイテレートして大規模にデータを抽出できます。認証されていない攻撃者は、影響を受けるAPIエンドポイントを直接クエリすることで、Engage関連の機密データを取得できます。この脆弱性により、予測可能または列挙可能な識別子を通じて任意のレコードへのアクセスが許可されます。機密性への影響は高いと見なされます。整合性または可用性への直接的な影響は確認されていません。公開されるデータの範囲はデプロイメントに依存しますが、分析データ、トラッキングデータ、顧客関連情報、またはUmbraco Engageが管理するその他のコンテンツを含む可能性があります。この脆弱性はv16およびv17の両方に影響します。パッチはすでにリリースされています。ユーザーは16.2.1または17.1.1に更新することを推奨します。既知の回避策はありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.