CVE-2026-51119 - Invixium IXM WEB v2.3.85.25 में विशेषाधिकार वृद्धि

अवलोकन

Invixium IXM WEB v2.3.85.25 में POST /SystemUsers/CreateAppUser एंडपॉइंट पर प्राधिकरण जांच की कमी के कारण एक विशेषाधिकार वृद्धि भेद्यता मौजूद है।

एक प्रमाणित निम्न-विशेषाधिकार उपयोगकर्ता इस एंडपॉइंट का दुरुपयोग करके एक नया प्रशासक खाता बना सकता है, जिससे पूर्ण प्रशासनिक पहुंच प्राप्त होती है।

• CVE: CVE-2026-51119
• विक्रेता: Invixium
• उत्पाद: IXM WEB
• प्रभावित संस्करण: 2.3.85.25
• गंभीरता: उच्च (विशेषाधिकार वृद्धि)

---

भेद्यता विवरण

एप्लिकेशन निम्नलिखित एंडपॉइंट को उजागर करता है:

POST /SystemUsers/CreateAppUser

बिना उचित सर्वर-साइड प्राधिकरण जांच किए।

एक सामान्य प्रमाणित उपयोगकर्ता सीधे इस एंडपॉइंट को लागू कर सकता है और एक प्रशासक खाता बना सकता है, भले ही यह कार्यक्षमता केवल विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए उपलब्ध होनी चाहिए।

प्रशासक खाता बनाने के बाद, हमलावर नवनिर्मित साख का उपयोग करके प्रमाणीकरण कर सकता है और पूर्ण प्रशासनिक विशेषाधिकार प्राप्त कर सकता है।

---

प्रभाव

सफल शोषण से एक प्रमाणित हमलावर निम्नलिखित कार्य कर सकता है:

• प्रशासक खाते बनाना।
• विशेषाधिकार बढ़ाना।
• एप्लिकेशन तक पूर्ण प्रशासनिक पहुंच प्राप्त करना।
• उपयोगकर्ताओं और प्रशासनिक कार्यों का प्रबंधन करना।

---

हमले की आवश्यकताएँ

• मान्य प्रमाणित उपयोगकर्ता खाता।
• लक्ष्य एप्लिकेशन तक नेटवर्क पहुंच।

---

मूल कारण

अनुचित प्राधिकरण (सर्वर-साइड प्राधिकरण सत्यापन की कमी)।

सर्वर बिना यह सत्यापित किए कि प्रमाणित उपयोगकर्ता के पास प्रशासक विशेषाधिकार हैं, विशेषाधिकार प्राप्त कार्यक्षमता के लिए अनुरोध स्वीकार करता है।

---

प्रभावित एंडपॉइंट

POST /SystemUsers/CreateAppUser

---

समयरेखा

तारीख	घटना
2026-04-15	भेद्यता रिपोर्ट की गई
2026-07-07	CVE आवंटित किया गया
2026	सार्वजनिक सलाह जारी की गई

---

श्रेय

Asim द्वारा खोजा गया और जिम्मेदारीपूर्वक प्रकट किया गया।

---

संदर्भ

• CVE-2026-51119