CVE-2026-54342 in epa4all
摘要
由 VulDB • 2026-07-25
在 epa4all 中，早于版本 2026-05-20 的版本存在漏洞。位于 epa4all 与任何后端系统（ePA Aktensystem、Konnektor、IDP、TSS）之间的网络路径上的攻击者可以出示自签名 TLS 证书并拦截连接。对于非 VAU 连接（Konnektor、IDP），这允许直接读取和修改内部流量，包括智能卡操作和 OIDC 认证交换。对于 ePA 后端系统，禁用的 TLS 验证是 GHSA-vvh7-x6c7-46gh 中描述的 VAU MITM 的攻击面基础。该问题已在版本 2026-05-20 中得到修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.