PT-2026-133685

CVE-2026-55551

Publicado

2026-10-30

Atualizado

2026-10-30

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas ZAC versões anteriores a 5.2.0

Description Existe uma falha de bypass de autorização nos endpoints de leitura por ID em src/main/kotlin/nl/info/zac/app/zaak/ZaakRestService.kt porque eles omitem a verificação assertPolicy(policyService.readZaakRechten(zaak).lezen). Embora o RequestAuthorizationFilter e o hasAnyApplicationRole verifiquem um papel de aplicação geral, eles não validam o tipo de caso específico, e a política zaak-rechten.rego não é invocada para impor o limite zaaktype allowed. Consequentemente, um usuário municipal autenticado com baixos privilégios que possua um UUID de caso ou decisão pode acessar dados não autorizados através dos seguintes endpoints:

'/rest/zaken/besluit/zaakUuid/{uuid}' usando listBesluitenForZaakUUID para ler decisões, tipos, datas e toelichting de texto livre.
'/rest/zaken/besluit/{uuid}/historie' usando listBesluitHistorie para ler valores antigos e novos de auditoria.
'/rest/zaken/{uuid}/process-diagram' usando downloadProcessDiagram para ler o estado do fluxo de trabalho BPMN.
'zaak/{uuid}/afzender' usando listAfzendersVoorZaak para expor a configuração da caixa de correio do zaaktype.

Recommendations Atualizar o ZAC para a versão 5.2.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-639: Authorization Bypass Through User-Controlled Key

CWE-285: Improper Authorization

Identificadores relacionados