CVE-2026-51119 - Escalata dei Privilegi in Invixium IXM WEB v2.3.85.25

Panoramica

Esiste una vulnerabilità di escalation dei privilegi in Invixium IXM WEB v2.3.85.25 a causa della mancanza di controlli di autorizzazione sull'endpoint POST /SystemUsers/CreateAppUser.

Un utente autenticato con privilegi bassi può abusare di questo endpoint per creare un nuovo account amministratore, portando a un accesso amministrativo completo.

• CVE: CVE-2026-51119
• Fornitore: Invixium
• Prodotto: IXM WEB
• Versione Affetta: 2.3.85.25
• Gravità: Alta (Escalation dei Privilegi)

Descrizione della Vulnerabilità

L'applicazione espone l'endpoint:

POST /SystemUsers/CreateAppUser

senza eseguire corretti controlli di autorizzazione lato server.

Un utente autenticato normale può invocare direttamente questo endpoint e creare un account amministratore, nonostante questa funzionalità dovrebbe essere disponibile solo per utenti privilegiati.

Dopo aver creato l'account amministratore, l'attaccante può autenticarsi utilizzando le credenziali appena create e ottenere pieni privilegi amministrativi.

Impatto

Lo sfruttamento riuscito consente a un attaccante autenticato di:

• Creare account amministratore.
• Escalare i privilegi.
• Ottenere pieno accesso amministrativo all'applicazione.
• Gestire utenti e funzioni amministrative.

Requisiti dell'Attacco

• Account utente autenticato valido.
• Accesso di rete all'applicazione target.

Causa Principale

Autorizzazione Impropria (Mancata Convalida dell'Autorizzazione Lato Server).

Il server accetta richieste a funzionalità privilegiate senza verificare se l'utente autenticato possiede privilegi di amministratore.

Endpoint Affetto

POST /SystemUsers/CreateAppUser

Cronologia

Crediti

Scoperta e divulgata responsabilmente da Asim.

Riferimenti

• CVE-2026-51119