CVE-2026-100903
ООО НПО Ритм GEOritm REST API obj-groups falta de autenticación
- Publicado
- 28 sept 2026
- Actualizado
- 1 oct 2026
- Asignación de CNA
- VulDB
- Evidencia observada
- 3 oct 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 46,5 %
- Fecha del modelo
- 27 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se identificó una vulnerabilidad en ООО НПО Ритм GEOritm hasta la versión 2.45.1. Esta afecta una parte desconocida del archivo /restapi/objects/obj-groups del componente REST API. Dicha manipulación del argumento objectId conduce a una falta de autenticación. El ataque puede lanzarse de forma remota. El exploit está disponible públicamente y podría ser utilizado. La actualización a la versión 2.46 puede mitigar este problema. Es aconsejable actualizar el componente afectado. El proveedor confirma: "En agosto de 2026, NPO Ritm recibió una notificación oficial de vulnerabilidad del Servicio Federal Ruso de Control Técnico y de Exportaciones (FSTEC Rusia). La vulnerabilidad se registró con el identificador BDU:2026-11235. Tras nuestra investigación interna, confirmamos la vulnerabilidad e implementamos las correcciones de seguridad necesarias. La vulnerabilidad ha sido corregida en nuestro servidor alojado GEO.RITM en geo.ritm.ru. La corrección también se ha incluido en la versión 2.46 de GEO.RITM, que ya se está distribuyendo a nuestros clientes."
Fuentes
PoC y script de enumeración para CVE-2026-100903, una vulnerabilidad de autenticación faltante en la API REST de GEO.RITM que filtra datos de objetos y controladores de forma anónima.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.