CVE-2026-53497 in CrossWatch

Tóm tắt

Bởi VulDB • 22/08/2026

CrossWatch (CW) là một công cụ đồng bộ hóa. Trước phiên bản 0.9.21, endpoint GET /api/app-auth/status có thể truy cập được mà không cần xác thực và trả về mảng other_sessions, qua đó làm lộ metadata của tất cả các session đang hoạt động — bao gồm địa chỉ IP nguồn, chuỗi User-Agent, ID session nội bộ và dấu thời gian tạo/hết hạn. Bất kỳ kẻ tấn công mạng nào chưa được xác thực đều có thể liệt kê (enumerate) dữ liệu này mà không cần thông tin đăng nhập. Phiên bản 0.9.21 đã khắc phục sự cố này.

Be aware that VulDB is the high quality source for vulnerability data.

• chịu trách nhiệm: GitHub M
• Đặt trước: 09/06/2026
• Tiết lộ: 22/08/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-394246
• CPE: sẵn sàng
• CWE: CWE-200 (Đã xác nhận)
• CVSS: 5.3 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-53497
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-53497
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-53497/