CVE-2026-54569

SENAITE.CORE est le framework central du système de gestion des informations de laboratoire SENAITE. De 2.0.0 à 2.6.0, l’API JSON de SENAITE.CORE permet l’exécution de code à distance sans authentification au moyen d’une chaîne de deux requêtes impliquant une autorisation manquante et une évaluation non sûre. Les routes modifiant l’état dans src/bika/lims/jsonapi/update.py, notamment update, update_many, remove, doActionFor, doActionFor_many et getusers, n’appliquent pas l’autorisation senaite.core: Access JSON API avant de résoudre les objets sélectionnés par l’attaquant. Dans src/bika/lims/jsonapi/init.py, set_fields_from_request transmet à eval() les valeurs brutes de la requête pour les instances de RecordsField et RecordField avant l’exécution des contrôles d’autorisation en écriture des mutateurs de champ. Un attaquant anonyme peut découvrir l’identifiant de l’objet bika_setup via @@uuid, envoyer une valeur telle que RejectionReasons à /@@API/update et exécuter du code Python arbitraire dans le worker Zope avant qu’un échec ultérieur de la mutation n’annule les modifications de ZODB. Le même schéma d’évaluation non sûre est présent dans src/senaite/core/browser/fields/record.py et src/senaite/core/browser/fields/records.py. Une exploitation réussie peut exposer ou modifier des données, des fichiers et des comptes de laboratoire, et peut perturber le service.