В Банке данных угроз безопасности информации (BDU) зарегистрирована новая серьёзная уязвимость в популярном открытом программном обеспечении для управления складом GreaterWMS. Идентификатор уязвимости - BDU:2026-00112, также ей присвоен идентификатор CVE-2025-26201. Проблема позволяет удалённому злоумышленнику полностью обойти процедуру проверки подлинности и получить неограниченный контроль над системой. Соответственно, это создаёт прямую угрозу для конфиденциальности и целостности данных в компаниях, использующих уязвимые версии ПО.
Детали уязвимости
Уязвимость классифицируется как обход аутентификации посредством захвата или повтора запросов. Технически, ошибка кода позволяет атакующему отправить специально сконструированный HTTP-запрос к определённому интерфейсу приложения. В результате система ошибочно принимает злоумышленника за уже аутентифицированного пользователя с максимальными правами, минуя этап ввода логина и пароля. Таким образом, для успешной атаки нарушителю требуется лишь доступ к сети, где развёрнуто приложение.
Согласно данным BDU, проблема затрагивает все версии GreaterWMS до 2.1.49 включительно. Оценка по методологии CVSS подтверждает высокую критичность угрозы. Базовый балл CVSS 3.1 составляет 9.1 из 10, что соответствует критическому уровню опасности. Вектор атаки оценивается как сетевой, не требующий специальных привилегий или взаимодействия с пользователем для эксплуатации. В частности, уязвимость позволяет нарушителю получить полный контроль над конфиденциальными данными и возможность их изменения.
Производитель ПО, сообщество разработчиков GreaterWMS, уже подтвердило наличие уязвимости и выпустило исправление. Основным способом устранения риска является немедленное обновление программного обеспечения до версии, следующей за 2.1.49. Пока информация о наличии публичных эксплойтов уточняется, однако сама природа уязвимости упрощает её потенциальное использование.
Для организаций, которые по каким-либо причинам не могут немедленно обновиться, рекомендуется провести аудит сетевой безопасности. Прежде всего, следует ограничить доступ к интерфейсам управления GreaterWMS только с доверенных IP-адресов с помощью межсетевых экранов или правил сегментации сети. Кроме того, необходимо усилить мониторинг подозрительной активности в журналах приложения, обращая внимание на попытки прямого доступа к API без предварительной авторизации.
Обнаружение этой уязвимости подчёркивает постоянные риски, связанные с обходом аутентификации в веб-приложениях. Подобные инциденты могут привести к масштабным утечкам данных, фальсификации складских остатков или даже к остановке логистических операций. Следовательно, регулярное обновление ПО и применение принципа минимальных привилегий остаются ключевыми практиками кибербезопасности. В заключение, своевременная реакция на подобные угрозы позволяет компаниям избежать значительных финансовых и репутационных потерь.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2025-26201
- https://github.com/Elymaro/CVE/blob/main/GreaterWMS/CVE-2025-26201.md
- https://github.com/GreaterWMS/GreaterWMS/issues/383
