CVE-2026-111646
Orta
Açıklama
1.13.0 öncesindeki SurveyKing, kimliği doğrulanmamış saldırganların GET /api/public/preview/{attachmentId} üzerinden herhangi bir depolanmış dosyayı ID aracılığıyla indirmesine olanak tanıyan bir yetkilendirme eksikliği zafiyeti içermektedir. Zaman sıralı snowflake dosya ID'lerini bilen veya türetebilen saldırganlar, özel anket eklerini ve katılımcı yüklemelerini okumak için FileServiceImpl.loadFile içerisindeki paylaşım, sahip ve proje kontrollerini atlayabilirler.
ÖnemOrta
CVSS5.9
İstismar olasılığı—
ÜrünSurveyKing
Yayın16 Eki 2026
İlk görülme16 Eki 2026
Zayıflık türüCWE-862Yetki denetimi eksikliği
Nasıl düzeltilir
Güncelleyin
- javahuang SurveyKing1.13.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| javahuang SurveyKing | v < 1.13.0 | 1.13.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.