Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 15 OCT · 15:47

CVE-2026-54683 Exposición de información en NL Portal Backend Libraries: documentos descargables por cualquier usuario…

Antes de 3.0.3, la consulta GraphQL getDocumentContent y la ruta REST GET /api/documentapi/{documentapi}/document/{documentId}/content permiten a cualquier usuario autenticado del portal obtener un documento sin verificar su propiedad ni otra relación autorizada. Con un identificador de documento ajeno, que puede filtrarse por otros canales, se accede a su contenido, que puede incluir información personal sensible.

6.5MEDIA

CVSS 3.1

  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • nl-portal nl-portal-backend-libraries

    < 3.0.3

Qué hacer

  1. Verificá si usás nl-portal-backend-libraries y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadNinguna
  • DisponibilidadNinguna

Descripción original

NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. Prior to 3.0.3, both the getDocumentContent GraphQL query and GET /api/documentapi/{documentapi}/document/{documentId}/content REST route allow any authenticated portal user to retrieve a document without checking ownership of or another authorized relationship to it. A user with a valid login and another person's document identifier can read that document's contents, which may include sensitive personal information. Document identifiers are random and difficult to guess, but they can leak through other channels. This issue is fixed in version 3.0.3.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.