یک آسیب‌پذیری امنیتی با شناسه CVE-2026-77226 در وب‌اپلیکیشن مدیریت (Admin web application) نرم‌افزار Camunda نسخه 7.24.0 تا پیش از نسخه 7.24.15 شناسایی شده است. این نقص امنیتی مربوط به یک خطای منطقی در احراز هویت (Incorrect Authorization) در نقطه انتهایی (Endpoint) مربوط به تنظیمات اولیه (First-run setup) است.
جزئیات فنی نقص امنیتی
در این آسیب‌پذیری، مؤلفه SetupResource برای تعیین در دسترس بودن تنظیمات اولیه، تنها اعضای مستقیم گروه camunda-admin را شمارش می‌کند و تمامی مدیران پیکربندی شده را شناسایی نمی‌کند. این نقص باعث می‌شود که سیستم در شرایط خاصی به اشتباه تصور کند هیچ مدیری تعریف نشده است.
سناریوی حمله
یک مهاجم از راه دور و بدون نیاز به احراز هویت (Unauthenticated)، می‌تواند از این نقص منطقی برای فراخوانی نقطه انتهایی user-create استفاده کند. در صورتی که گروه camunda-admin خالی باشد اما مدیرانی در سیستم تعریف شده باشند، مهاجم قادر خواهد بود یک حساب کاربری جدید با دسترسی مدیر (Administrator) ایجاد کرده و کنترل کامل سیستم را به دست بگیرد.
- شدت آسیب‌پذیری: بالا (High)
- نوع حمله: از راه دور (Remote)
- پیش‌نیاز: عدم وجود عضو مستقیم در گروه camunda-admin
