CVE-2026-85214highCWE-639

CVE-2026-85214: falha de alta gravidade em lenve vhr

vhr Missing Authorization in PUT /hr/info Allows Arbitrary Profile Overwrite

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar vhr

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.2epss 0.5%
vhr fails to validate user authorization in the PUT /hr/info endpoint, allowing authenticated users to modify arbitrary HR profiles by supplying any profile ID in the request body. Attackers can overwrite other users' names, addresses, and disable accounts including administrators to cause denial of service.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
lenve · vhr
CVEs relacionadas — lenve vhr

No mesmo produto, das mais perigosas para as menos.

CVE-2026-110217HIGHvhr through commit 03abbd3 Information Disclosure of Operator Password Hashes via GET /chat/hrsEPSS 0.6%CVE-2026-90498MEDIUMlenve vhr vhr.sql default credentialsEPSS 0.5%CVE-2026-85182HIGHvhr Missing Authorization in PUT /hr/pass Allows Cross-Account Password ChangeEPSS 0.4%CVE-2026-90490MEDIUMlenve vhr MailReceiver deserializationEPSS 0.4%CVE-2026-90499MEDIUMlenve vhr Password Update pass HrInfoController.updatePass improper authorizationEPSS 0.4%CVE-2026-90501MEDIUMlenve vhr HrMapper.xml HrInfoController.updateHr privileges managementEPSS 0.3%