תיאור (מקור, אנגלית)
Yamcs is a mission control framework. Prior to 5.12.7, the IAM API endpoints listUsers, getUser, listGroups, and getGroup in yamcs-core did not enforce the required SystemPrivilege.ControlAccess check in yamcs-core/src/main/java/org/yamcs/http/api/IamApi.java, so any authenticated user, even one with low or no privileges, could enumerate all user accounts in the system including their usernames, superuser status, and group memberships. This issue is fixed in versions 5.12.7 and 5.13.0.
מוצרים מושפעים
spaceapplications: yamcs
קישורים6
- github.com/yamcs/yamcs/security/advisories/GHSA-p2rj-mrmc-9w29 ExploitVendor Advisory
- github.com/yamcs/yamcs/security/advisories/GHSA-p2rj-mrmc-9w29 ExploitVendor Advisory
- github.com/yamcs/yamcs/commit/0e12b518f103f24681299318a30a460f… Patch
- github.com/yamcs/yamcs/commit/e90099fba98e96214217c195b6a5b87b… Patch
- github.com/yamcs/yamcs/releases/tag/yamcs-5.12.7 Release Notes
- github.com/yamcs/yamcs/releases/tag/yamcs-5.13.0 Release Notes
מדדים
- CVSS 3.1
-
4.3
MEDIUM
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N - EPSS — סבירות ניצול
- 1% אחוזון 65 · נכון ל-15 בנובמבר 2026
- CWE
- CWE-862
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.