Blog 24/7
ARK. 1 · 1 min czytaniaPolska ·

WEBCON BPS: luka CVE-2026-92419 ujawnia grafiki urlopów innych pracowników

CERT Polska opisał lukę IDOR w WEBCON BPS: zalogowany użytkownik mógł podejrzeć urlopy innych pracowników. Poprawka jest w wersjach 2025.2.1.177 i 2026.1.1.20.

Karta wpisu: WEBCON BPS: luka CVE-2026-92419 ujawnia grafiki urlopów innych pracowników

CERT Polska opublikował informację o podatności CVE-2026-92419 w WEBCON BPS. Luka typu IDOR pozwala zalogowanemu użytkownikowi podejrzeć harmonogramy urlopów innych pracowników, a producent wydał już poprawkę. Błąd dotyczy endpointu /api/vacations/{path}. Parametr selectedPeople w API wykresu urlopowego nie sprawdza, czy osoba wysyłająca żądanie ma prawo do danych wskazanych użytkowników. Wystarczy wpisać w nim dowolne loginy, żeby zobaczyć urlopy kierowników i pracowników z innych oddziałów, z pominięciem ograniczeń dostępu wynikających z logiki biznesowej.

Kogo dotyczy

Firm, które korzystają z WEBCON BPS w wersjach wydanych przed poprawką. Do wykorzystania luki potrzebne jest konto w systemie, więc może ją wykorzystać każdy użytkownik z dostępem do aplikacji, również spoza działu, który powinien widzieć te dane.

Co zrobić

Zaktualizować WEBCON BPS do wersji 2025.2.1.177 lub 2026.1.1.20, w których podatność naprawiono. Ujawnienie koordynował CERT Polska, a lukę zgłosił Robert Strzoda.

TAB. 2

Źródła

1
CERT Polska — Podatność w oprogramowaniu WEBCON BPScert.pl
TAB. 3

Powiązane

3
07.11.2026PolskaPSE utworzą CSIRT Energia, piąty sektorowy zespół reagowania na incydenty w Polsce
07.11.2026Polska120 mln zł na bezpieczną komunikację mobilną dla ponad 40 tys. podmiotów KSC
07.11.2026PolskaNBP: w 80,1 proc. oszustw płatniczych ofiara sama zleciła przelew lub dała dane

Wszystkie wpisy →

Blog 24/7
07.11PSE utworzą CSIRT Energia, piąty sektorowy zespół reagowania na incydenty w Polscespidersweb.pl07.11120 mln zł na bezpieczną komunikację mobilną dla ponad 40 tys. podmiotów KSCcrn.pl07.11NBP: w 80,1 proc. oszustw płatniczych ofiara sama zleciła przelew lub dała danetelepolis.pl07.11Crédit Mutuel Arkéa: nieuprawnione przelewy na 118 mln euro po wejściu przez dostawcębleepingcomputer.com07.11CTM360: ponad 1000 incydentów z fałszywymi kartami podarunkowymi znanych marekbleepingcomputer.com07.11Ataki na podłączone do internetu chłodnie objęły trzy placówki krwi we Francjiwired.com07.11Claude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubiethehackernews.com07.11Backdoor cwpdoor w Control Web Panel wykonuje polecenia bez śladu w logachthehackernews.com07.11Japonia przeznacza 10 mld jenów na awaryjny pakiet cyberbezpieczeństwa po fali wyciekówsecurityweek.com07.11Otwarte modele AI niemal dorównują zamkniętym w atakach na sieci firmowewired.com