Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-67403 là lỗ hổng Authorization Bypass Through User-Controlled Key ảnh hưởng tới Sage AR Automation (phiên bản bị ảnh hưởng: June-R1-2026 – < June-R1-2026). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 9. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Cash Collect contains an improper authorization vulnerability in the Sage AR Automation API. Insufficient tenant-level authorization checks allow authenticated users to access administrative resources belonging to other tenants by specifying a valid non predictable tenant identifier.
June-R1-2026 được đánh dấu là affected theo quy ước phiên bản custom của bản ghi; trạng thái mặc định là unaffected.June-R1-2026 là mốc release được nêu trong dữ liệu affected. Bản ghi không xác minh riêng trạng thái của mọi nhánh song song hoặc các release về sau.Lỗ hổng nằm trong cơ chế ủy quyền theo tenant của Sage AR Automation API. Người dùng đã xác thực có thể gửi yêu cầu qua mạng kèm một mã định danh tenant hợp lệ nhưng khó dự đoán; API không kiểm tra đầy đủ rằng tenant được yêu cầu thuộc phạm vi mà người dùng được phép truy cập. Đây là dạng Insecure Direct Object Reference, được phân loại là CWE-639, trong đó khóa do người dùng kiểm soát được dùng để chọn tài nguyên của tenant khác. Bản ghi cho biết yêu cầu cần tài khoản với đặc quyền thấp, không cần tương tác của nạn nhân và có độ phức tạp khai thác cao. Endpoint cụ thể, loại tài nguyên quản trị bị ảnh hưởng và cách thu thập mã định danh tenant chưa được công bố.
Lỗ hổng có thể bị khai thác qua mạng bởi người dùng đã xác thực với đặc quyền thấp. Bản ghi cho biết không cần tương tác của người dùng khác, nhưng độ phức tạp tấn công là cao và kẻ tấn công cần một mã định danh tenant hợp lệ, khó dự đoán. Bản ghi không xác nhận trạng thái khai thác thực tế. Không có public exploit được xác định trong dữ liệu được cung cấp, còn trạng thái known exploited là chưa xác định; vì vậy không nên xem đây là bằng chứng rằng chưa từng có hành vi khai thác.
Kết quả kỹ thuật là một người dùng đã xác thực có thể vượt qua kiểm tra phạm vi tenant và truy cập tài nguyên quản trị của tenant khác. Với đặc quyền ban đầu thấp, lỗi vẫn có thể dẫn đến tác động vượt ra ngoài tenant của tài khoản và ảnh hưởng đến tài nguyên của bên thứ ba trong cùng dịch vụ. Dữ liệu đánh giá cho thấy tác động tiềm ẩn cao đối với tính bí mật, toàn vẹn và sẵn sàng, nhưng không nêu rõ thao tác cụ thể mà API cho phép trên các tài nguyên đó. Do thiếu thông tin về endpoint và loại tài nguyên, không thể khẳng định rằng mọi tài nguyên quản trị hoặc mọi thao tác đều bị ảnh hưởng.
Lỗi phá vỡ ranh giới cô lập giữa các tenant trong cùng dịch vụ. Người dùng có tài khoản hợp lệ nhưng đặc quyền thấp có thể tiếp cận tài nguyên quản trị thuộc tenant khác, tạo nguy cơ lộ dữ liệu hoặc thực hiện thay đổi trái phép. Dữ liệu đánh giá tác động cho thấy khả năng ảnh hưởng cao đến tính bí mật, toàn vẹn và sẵn sàng của các tài nguyên bị tác động. Nếu các tài nguyên đó hỗ trợ thao tác ghi hoặc quản trị, tác động vận hành có thể lan sang tenant không liên quan; bản ghi không xác nhận một kịch bản xâm phạm cụ thể.
June-R1-2026.June-R1-2026 được nêu trong dữ liệu affected của bản ghi. Không nên suy diễn trạng thái của các nhánh song song chưa được xác minh.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
