Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Płatnik utrzymywanym przez Zakład Ubezpieczeń Społecznych i koordynował proces ujawniania informacji.
Podatność CVE-2026-110970: Płatnik wykorzystuje nieszyfrowany protokół HTTP do pobierania aktualizacji, bibliotek i plików pomocniczych. Pozwala to atakującemu na przeprowadzenie ataku typu Man-In-The-Middle, przechwycenie przesyłanych danych i podmienienie oryginalnych plików na własne.
Podatność CVE-2026-110971: Wykorzystanie słabego algorytmu kodowania hasła w Płatniku pozwala użytkownikowi, który pozyska zakodowane hasło, w łatwy sposób je odkodować.
Podatność CVE-2026-110972: Płatnik przeprowadza proces uwierzytelnienia po stronie aplikacji klienckiej. Atakujący posiadający dostęp do dowolnej instancji aplikacji połączonej do serwera może obejść proces logowania i pomyślnie się uwierzytelnić jako dowolny użytkownik.
Te problemy zostały naprawione w metryce 242 w wersji 10.02.002.
Podziękowania
Za zgłoszenie podatności CVE-2026-110971 oraz CVE-2026-110972 dziękujemy Wojciechowi Giełdzie.
