CVE-2026-51119 - Élévation de privilèges dans Invixium IXM WEB v2.3.85.25

Aperçu

Une vulnérabilité d'élévation de privilèges existe dans Invixium IXM WEB v2.3.85.25 en raison de l'absence de contrôles d'autorisation sur le point de terminaison POST /SystemUsers/CreateAppUser.

Un utilisateur authentifié à faible privilège peut abuser de ce point de terminaison pour créer un nouveau compte administrateur, conduisant à un accès administratif complet.

• CVE: CVE-2026-51119
• Fournisseur: Invixium
• Produit: IXM WEB
• Version affectée: 2.3.85.25
• Gravité: Élevée (Élévation de privilèges)

Description de la vulnérabilité

L'application expose le point de terminaison :

POST /SystemUsers/CreateAppUser

sans effectuer les vérifications d'autorisation côté serveur appropriées.

Un utilisateur authentifié ordinaire peut invoquer directement ce point de terminaison et créer un compte administrateur, alors que cette fonctionnalité ne devrait être disponible que pour les utilisateurs privilégiés.

Après avoir créé le compte administrateur, l'attaquant peut s'authentifier en utilisant les identifiants nouvellement créés et obtenir les pleins privilèges administratifs.

Impact

Une exploitation réussie permet à un attaquant authentifié de :

• Créer des comptes administrateur.
• Élever ses privilèges.
• Obtenir un accès administratif complet à l'application.
• Gérer les utilisateurs et les fonctions administratives.

Conditions requises pour l'attaque

• Compte utilisateur authentifié valide.
• Accès réseau à l'application cible.

Cause racine

Autorisation incorrecte (Absence de validation d'autorisation côté serveur).

Le serveur accepte les requêtes pour des fonctionnalités privilégiées sans vérifier si l'utilisateur authentifié possède les privilèges d'administrateur.

Point de terminaison affecté

POST /SystemUsers/CreateAppUser

Chronologie

Crédits

Découvert et divulgué de manière responsable par Asim.

Références

• CVE-2026-51119