4ybrick/cve-2026-100903PoC y script de enumeración para CVE-2026-100903, una vulnerabilidad de autenticación faltante en la API REST de GEO.RITM que filtra datos de objetos y controladores de forma anónima.
Descripción: Una vulnerabilidad en el método POST /restapi/objects/obj-groups de la API REST del software GEO.RITM está relacionada con la falta de autenticación antes de ejecutar la función.
Impacto: La explotación de esta vulnerabilidad podría permitir a un atacante que actúe de forma remota sin autenticación, pasando un identificador de objeto (objectId), obtener la asociación organizacional y regional del objeto (división, región, estado operativo) y, en algunos casos, los datos personales de la persona responsable (apellido e iniciales del conductor). Cuando se combina con el método de enumeración de objetos, esta vulnerabilidad permite la desanonimización anónima de toda la flota de objetos monitoreados
Vector CVSSv3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N (7.5 Alta)
CWE: CWE-306: Autenticación Faltante para Función Crítica
Componente Afectado: Endpoint de RestApi: /restapi/objects/obj-groups
Proveedor: ООО НПО Ритм
./ritm_park_enum.sh --tagret $HOST:PORT También existe la opción --help