CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Płatnik utrzymywanym przez Zakład Ubezpieczeń Społecznych i koordynował proces ujawniania informacji.
Podatność CVE-2026-110970 : Płatnik wykorzystuje nieszyfrowany protokół HTTP do pobierania aktualizacji, bibliotek i plików pomocniczych. Pozwala to atakującemu na przeprowadzenie ataku typu Man-In-The-Middle, przechwycenie przesyłanych danych i podmienienie oryginalnych plików na własne.
Podatność CVE-2026-110971 : Wykorzystanie słabego algorytmu kodowania hasła w Płatniku pozwala użytkownikowi, który pozyska zakodowane hasło, w łatwy sposób je odkodować.
Podatność CVE-2026-110972 : Płatnik przeprowadza proces uwierzytelnienia po stronie aplikacji klienckiej. Atakujący posiadający dostęp do dowolnej instancji aplikacji połączonej do serwera może obejść proces logowania i pomyślnie się uwierzytelnić jako dowolny użytkownik.
Te problemy zostały naprawione w metryce 242 w wersji 10.02.002.
Za zgłoszenie podatności CVE-2026-110971 oraz CVE-2026-110972 dziękujemy Wojciechowi Giełdzie.
The full story
This article is one source in a clustered incident — the cluster page carries the summary, timeline and every other outlet covering it.
