Podatność w oprogramowaniu OutSystems Lifetime wykryta przez CERT

Odkryto podatność w oprogramowaniu OutSystems Lifetime

CERT Polska dał znać, że w systemie OutSystems Lifetime znaleziono lukę. Chodzi o błąd Authorization Bypass Through User-Controlled Key w parametrze ApplicationID. I tu właśnie jest haczyk.

Luka CVE-2026-40127 daje zalogowanym osobom wgląd w Change Log. Mogą tam zobaczyć ruchy innych ludzi oraz nazwy dowolnych aplikacji. Cyfry mówią same za siebie: problem znika w wersji 11.28.2.3955. Szybka sprawa.

Szczegóły podatności CVE-2026-40127

CVE ID: CVE-2026-40127
Data publikacji: 25 maja 2026
Producent: OutSystems
Nazwa oprogramowania: Lifetime
Podatne wersje: Wszystkie poniżej 11.28.2.3955
Typ podatności (CWE): Authorization Bypass Through User-Controlled Key (CWE-639)

Proces zgłaszania podatności

CERT Polska trzymał rękę na pulsie i koordynował ujawnienie tych danych. Informację przekazał Zbigniew Piotrak z AFINE Team. No kto by pomyślał.

Jak zabezpieczyć się przed podatnością?

Kto używa OutSystems Lifetime, musi wgrać wersję 11.28.2.3955 lub nowszą. To jedyny sposób, by uciąć ryzyko. Więcej szczegółów o zgłaszaniu błędów znajdziecie na stronie https://cert.pl/cvd/.

Aktualizacja systemu to w tym przypadku jedyna słuszna droga.

Źródło: CERT