Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
PoC
Опубликована

CVE-2026-112193

Webkul Aureus ERP UserForm.php weak password

Публикация: 19.10.2026·Обновлена: 22.10.2026, 23:51·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A vulnerability was detected in Webkul Aureus ERP up to 1.6.0. Impacted is an unknown function of the file plugins/webkul/security/src/Filament/Resources/UserResource/Schemas/UserForm.php. Performing a manipulation of the argument Password results in weak password requirements. Remote exploitation of the attack is possible. The complexity of an attack is rather high. The exploitability is considered difficult. The exploit is now public and may be used. The vendor was contacted early about this disclosure.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Webkul / Aureus ERP 

{
  "status": "affected",
  "version": "1.0"
}
{
  "status": "affected",
  "version": "1.1"
}
{
  "status": "affected",
  "version": "1.2"
}
{
  "status": "affected",
  "version": "1.3"
}
{
  "status": "affected",
  "version": "1.4"
}
{
  "status": "affected",
  "version": "1.5"
}
{
  "status": "affected",
  "version": "1.6.0"
}
cpe:2.3:a:webkul:aureus_erp:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 4.0 · cve6.3
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P
AV · Вектор атакисеть
AC · Сложность атакивысокая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиине нужны
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системынизкое
VI · Целостность уязвимой системынет
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет
E · Eзначение P; см. спецификацию CVSS
CVSS 3.1 · cve3.7
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:C
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнизкое
I · Целостностьнет
A · Доступностьнет
E · Eзначение P; см. спецификацию CVSS
RL · RLзначение X; см. спецификацию CVSS
RC · RCзначение C; см. спецификацию CVSS
CVSS 3.0 · cve3.7
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:C
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнизкое
I · Целостностьнет
A · Доступностьнет
E · Eзначение P; см. спецификацию CVSS
RL · RLзначение X; см. спецификацию CVSS
RC · RCзначение C; см. спецификацию CVSS
CVSS 2.0 · cve2.6
AV:N/AC:H/Au:N/C:P/I:N/A:N/E:POC/RL:ND/RC:C
AV · Вектор атакисеть
AC · Сложность атакивысокая
Au · Аутентификация CVSS v2не нужна
C · Конфиденциальностьчастичное
I · Целостностьнет
A · Доступностьнет
E · Eзначение POC; см. спецификацию CVSS
RL · RLзначение ND; см. спецификацию CVSS
RC · RCзначение C; см. спецификацию CVSS

Классы CWE

CWE-521 · Слабые требования к паролю

Источники и ссылки

Материал · vuldb.com · cveМатериал · vuldb.com · cveМатериал · vuldb.com · cveМатериал · vuldb.com · cvePoC / эксплойт · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:11:51.233890+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T18:41:49.777963+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T18:41:49.777963+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T18:41:49.777963+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:11:51.233890+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T18:41:49.777963+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:11
  2. Данные обновлены03.11.2026, 00:11
  3. Данные обновлены02.11.2026, 00:09
  4. Данные обновлены31.10.2026, 11:57
  5. Данные обновлены30.10.2026, 16:44
  6. Данные обновлены29.10.2026, 11:14
  7. Появилась ссылка на PoC28.10.2026, 21:41

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-112190
Webkul Aureus ERP composer.json insertion of sensitive information into debugging code
Webkul / Aureus ERP
Высокий6.9
0,3 %
PoC
19.10.2026
CVE-2026-111284
Aureus ERP through 1.6.0 Stored XSS via Time Off Holiday Action Modal
Webkul / Aureus ERP
Высокий5.1
0,22 %
PoCПатч
16.10.2026
CVE-2026-110218
Aureus ERP through 1.6.0 Unpublished Blog Post Disclosure via Direct URL
Webkul / Aureus ERP
Средний6.3
0,36 %
13.10.2026
CVE-2026-97062
Aureus ERP 1.6.0 Stored XSS via SVG File Upload
Webkul / Aureus ERP
Высокий5.1
0,21 %
PoCПатч
24.09.2026
CVE-2026-95655
Aureus ERP before 1.5.0 Unscoped Message Access via ChatterPanel
Webkul / Aureus ERP
Высокий8.6
0,49 %
Патч
22.09.2026
CVE-2026-112193: Webkul Aureus ERP UserForm.php weak password · CVE Радар