CVE-2026-100903
ООО НПО Ритм GEOritm REST API obj-groups отсутствует аутентификация
- Publié
- 28 sept. 2026
- Mise à jour
- 1 oct. 2026
- Attribution de CNA
- VulDB
- Preuve observée
- 3 oct. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 46,5 %
- Date du modèle
- 27 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Une vulnérabilité a été identifiée dans ООО НПО Ритм GEOritm jusqu'à la version 2.45.1. Cela affecte une partie inconnue du fichier /restapi/objects/obj-groups du composant REST API. Une telle manipulation de l'argument objectId conduit à une absence d'authentification. L'attaque peut être lancée à distance. L'exploit est publiquement disponible et pourrait être utilisé. La mise à niveau vers la version 2.46 permet de corriger ce problème. Il est conseillé de mettre à niveau le composant affecté. Le fournisseur confirme : « En août 2026, NPO Ritm a reçu une notification officielle de vulnérabilité de la part du Service fédéral russe de contrôle technique et d'exportation (FSTEC Russie). La vulnérabilité a été enregistrée sous l'identifiant BDU:2026-11235. À la suite de notre enquête interne, nous avons confirmé la vulnérabilité et mis en œuvre les correctifs de sécurité nécessaires. La vulnérabilité a été corrigée sur notre serveur GEO.RITM hébergé à geo.ritm.ru. Le correctif a également été inclus dans la version 2.46 de GEO.RITM, qui est déjà en cours de distribution à nos clients. »
Sources
PoC et script d'énumération pour CVE-2026-100903, une faille d'authentification manquante dans l'API REST GEO.RITM qui expose anonymement des données d'objets et de pilotes.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.