Impatto Sistemico

Critico (77.3)

Sintesi

Disponibili Proof of Concept (PoC) per lo sfruttamento delle CVE-2026-84114 e CVE-2026-84115 – già sanate dal vendor – presenti in Cleo Harmony.

Tipologia

• Privilege Escalation
• Security Feature Bypass

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-84115, di tipo ” Improper Privilege Management ” e con score CVSS v3.x pari a 8.3, è causata da una gestione non adeguata dei privilegi nel componente preposto alla gestione del refresh dei token JWT, associato all’endpoint /api/connections . Tale vulnerabilità, qualora sfruttata da un attaccante remoto attraverso la manipolazione del parametro Bearer in richieste opportunamente predisposte, potrebbe consentire l’elusione dei meccanismi di sicurezza e l’elevazione dei propri privilegi sui sistemi target.

La vulnerabilità identificata tramite la CVE-2026-84114, di tipo “Improper Authentication” e con score CVSS v3.x pari a 6.3, è dovuta alla mancanza di una rigorosa sanificazione e verifica della firma/corrispondenza logica del token di asserzione. Un utente malintenzionato può inviare una richiesta di autenticazione SAML alterando o manipolando in modo mirato il campo stringa dell’email all’interno delle asserzioni passate alla funzione LocalUserUtil.getNativeUserByAssertions e, a causa della vulnerabilità, il sistema convalida l’accesso associando l’attaccante a un account legittimo esistente ottenendo accesso remoto al portale.

Prodotti e versioni affette

Cleo Harmony, versioni precedenti alla 5.8.1.11

Azioni di Mitigazione

Si raccomanda di applicare tempestivamente le mitigazioni proposte dal vendor seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.