CVE-2026-100903
ООО НПО Ритм GEOritm REST API obj-groups يفتقر إلى المصادقة
- تم النشر
- 28/09/2026
- محدث
- 01/10/2026
- تخصيص CNA
- VulDB
- الأدلة المرصودة
- 03/10/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 46.4%
- تاريخ الموديل
- 25/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تم تحديد ثغرة أمنية في ООО НПО Ритм GEOritm حتى الإصدار 2.45.1. يؤثر هذا على جزء غير معروف من الملف /restapi/objects/obj-groups الخاص بمكوّن REST API. يؤدي هذا التلاعب بالوسيط objectId إلى غياب المصادقة. يمكن شن الهجوم عن بُعد. الاستغلال متاح علنًا وقد يُستخدم. الترقية إلى الإصدار 2.46 قادرة على تخفيف هذه المشكلة. يُنصح بترقية المكوّن المتأثر. يؤكد المورّد: "في أغسطس 2026، تلقّت NPO Ritm إشعارًا رسميًا بثغرة أمنية من الخدمة الفيدرالية الروسية للرقابة التقنية وتصدير السلع (FSTEC Russia). تم تسجيل الثغرة تحت المعرّف BDU:2026-11235. بعد تحقيقنا الداخلي، أكّدنا وجود الثغرة ونفّذنا الإصلاحات الأمنية اللازمة. تم إصلاح الثغرة على خادم GEO.RITM المستضاف لدينا على geo.ritm.ru. كما تم تضمين الإصلاح في إصدار GEO.RITM 2.46، الذي يجري توزيعه بالفعل على عملائنا."
المصادر
سكربت PoC و enumeration للثغرة CVE-2026-100903، وهي ثغرة نقص المصادقة في GEO.RITM REST API تؤدي إلى تسريب بيانات الكائنات والتعريفات (drivers) بشكل مجهول.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.