Šta se desilo?

VulnCheck je objavio CVE-2026-108707 za zaobilaženje autentifikacije u Wukong_HRM komponenti ParamAspect. Prema savetu, zahtev bez AUTH-TOKEN zaglavlja može dobiti pristup HRM API-ju sa ovlašćenjima HR administratora.

Koga pogađa?

CVE zapis obuhvata kod zaključno sa commitom 186115e1a5a0b827ad9596ff8c2f3a876fb0cc55. Ovo je oznaka revizije izvornog koda, a ne broj izdanja. Nije potvrđeno da je svaka kasnija revizija automatski bezbedna.

Mogu biti ugroženi platni listići, istorija plata, lični podaci zaposlenih, prilozi i HR evidencije. To opisuje mogući uticaj propusta, ne potvrđen slučaj curenja podataka određene organizacije.

Kako se zaštititi?

  • Ograničite mrežni pristup HRM aplikaciji na potrebne korisnike i pouzdane sisteme.
  • Za udaljeni pristup koristite zasebnu kontrolu pristupa, poput pravilno konfigurisanog VPN-a ili autentifikacionog posrednika.
  • Pregledajte pristupne zapise, preuzimanja i izmene HR podataka radi uočavanja neovlašćenih aktivnosti.
  • Od održavaoca tražite potvrđenu ispravku za ovaj CVE i proverite je pre vraćanja šire dostupnosti.

Tehnički detalji

Propust je klasifikovan kao CWE-287, nepravilna autentifikacija. VulnCheck navodi CVSS 4.0 ocenu 9.3. Prema opisu, napadač može čitati, menjati ili brisati HR evidencije bez važećeg tokena.

Objavljeni su istraživački dokazi koncepta. Njihovo postojanje ne potvrđuje aktivnu eksploataciju. Provereni savet ne sadrži oznaku ispravljenog izdanja niti referencu na zakrpu.

Zašto je važno?

HR sistemi sadrže osetljive podatke, pa zaobilaženje autentifikacije može imati ozbiljne posledice i po zaposlene i po integritet evidencija. Promena administratorske lozinke sama po sebi ne rešava propust koji omogućava pristup bez prijave.

Preporuka Sajber Radara

Prioritetno proverite reviziju i izloženost sistema. Dok ispravka ne bude potvrđena, zadržite ograničen pristup i istražite sumnjive aktivnosti. Ne predstavljajte običnu nadogradnju na noviji commit kao dokaz sanacije.