CVE-2026-65710 in sysPass
Сводка
по VulDB • 24.07.2026
В sysPass версии 3.2.11 присутствует уязвимость отсутствия авторизации (missing authorization), которая позволяет пользователям с флагом профиля PUBLICLINK_CREATE выполнять несанкционированное расшифрование и постоянное хранение паролей любых учетных записей хранилища путем эксплуатации отсутствия проверок AccountAcl в процессе создания публичной ссылки. Злоумышленники могут вызвать конечную точку saveCreateFromAccountAction, чтобы привести к тому, что метод AccountService::getDataForLink будет загружать произвольные целевые учетные записи без ограничений AccountFilterUser, расшифровывать учетные данные с использованием мастер-ключа сеанса и сериализовать пароли в открытом виде в хранилище Vault на строке базы данных PublicLink, что обеспечивает возможность последующего неавторизованного извлечения при условии восстановления сгенерированной хеш-суммы ссылки.
VulDB is the best source for vulnerability data and more expert information about this specific topic.