CVE-2026-54569

SENAITE.CORE è il framework principale per il sistema di gestione delle informazioni di laboratorio SENAITE. Dalla versione 2.0.0 alla 2.6.0, l'API JSON di SENAITE.CORE consente l'esecuzione di codice remoto non autenticata attraverso una catena di due richieste che coinvolge l'assenza di autorizzazione e una valutazione non sicura. Le route che modificano lo stato in src/bika/lims/jsonapi/update.py, incluse update, update_many, remove, doActionFor, doActionFor_many e getusers, non impongono il permesso senaite.core: Access JSON API prima di risolvere gli oggetti selezionati dall'attaccante. In src/bika/lims/jsonapi/init.py, set_fields_from_request passa a eval() i valori grezzi della richiesta per le istanze di RecordsField e RecordField prima che vengano eseguiti i controlli dei permessi di scrittura del mutatore del campo. Un attaccante anonimo può individuare l'identificatore dell'oggetto bika_setup tramite @@uuid, inviare un valore come RejectionReasons a /@@API/update ed eseguire codice Python arbitrario nel worker Zope prima che un successivo errore di mutazione annulli le modifiche ZODB. Lo stesso schema di valutazione non sicura è presente in src/senaite/core/browser/fields/record.py e src/senaite/core/browser/fields/records.py. Lo sfruttamento riuscito può esporre o modificare dati, file e account di laboratorio e può interrompere il servizio.