Frevvo: CVE-2026-19677 omogućava zaobilaženje autentifikacije

Šta se desilo?

MON-CSIRT je 23. oktobra 2026. objavio CVE-2026-19677 za javni registracioni obrazac onPhase/frevvo platforme. Prema CNA opisu, udaljeni napadač bez prijave može da preuzme identitet korisnika i dođe do privilegija koje omogućavaju izvršavanje komandi na serveru.

Koga pogađa?

CVE zapis izričito navodi onPhase Forms 11.0.14. Prioritet imaju instalacije čiji je registracioni interfejs mrežno dostupan. Nema osnova da se svi drugi proizvodi ili sve novije verzije automatski proglase pogođenim ili zaštićenim.

Kako se zaštititi?

• Pređite na verziju 11.0.17 prema preporuci u CVE zapisu i uputstvu dobavljača.
• Ako nadogradnja nije odmah moguća, blokirajte putanje /frevvo/web/webapp/register i /frevvo/web/**/service na reverse proxy ili WAF sloju.
• Proverite da privremena blokada zaista pokriva sve ulazne tačke do aplikacije.
• Pregledajte nove naloge, dodeljene privilegije i neuobičajene radnje na serveru.
• Sačuvajte logove i uključite tim za odgovor na incidente ako nađete neovlašćene promene.

Tehnički detalji

CNA je dodelio CVSS 4.0 ocenu 9,3 i oznaku CWE-306. Napad koristi registracione parametre sa validnim nazivom tenanta i identifikatorom postojećeg korisnika, bez njegove lozinke, radi dobijanja TenantAdmin i Designer ovlašćenja. U odeljku rešenja CVE zapisa navodi se uklanjanje neautentifikovane registracije u 11.0.17, izolovano izvršavanje pravila i podrazumevano isključen Document Service.

Zašto je važno?

Zaobilaženje autentifikacije znači da zaštita samog obrasca za prijavu nije dovoljna. Višefaktorska autentifikacija korisničkih naloga ne predstavlja zamenu za otklanjanje ove ranjivosti.