CVE-2026-49464

NL Portal: IDOR allows any authenticated user to complete and tamper with another user's taak

CVSS 3.1High

8.1/ 10.0

Опубликовано

11 сентября 2026 г.

Обновлено

15 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.0.1

Обновите пакет nl.nl-portal:taak до версии 3.0.1 либо заблокируйте мутацию submitTaakV2 на уровне API gateway.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

IDOR-уязвимость в NL Portal позволяет аутентифицированному пользователю изменять и закрывать чужие задачи.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Пакет nl.nl-portal:taak не проверяет права владения объектом при обработке мутации GraphQL submitTaakV2.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Чтение данных веб-форм, перезапись отправленной информации и несанкционированное завершение задач других пользователей.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

nl-portalnl-portal-backend-libraries

>= 1.5.0➔Fix: 3.0.1

——

>= 1.5.0➔Fix: 3.0.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/nl-portal/nl-portal-backend-libraries/security/advisories/GHSA-6h3c-r723-7fx3

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-49464: NL Portal: IDOR allows any authenticated user to complete and tamper with another user's taak. URL: https://cve.futuretools.ru/cve/CVE-2026-49464

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_49464,
  title = {{CVE-2026-49464: NL Portal: IDOR allows any authenticated user to complete and tamper with another user's taak}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-49464}},
  note = {Оперативный инженерный анализ киберугроз}
}