# CERT Polska opisał podatność CVE-2026-92419 w WEBCON BPS, która ujawnia harmonogramy urlopów innych pracowników

CERT Polska opublikował 23 września 2026 r. ostrzeżenie o podatności w WEBCON BPS. Uwierzytelniony użytkownik może przez API wykresu urlopowego zobaczyć harmonogramy urlopów innych pracowników. Producent wydał poprawione wersje.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/cert-polska-opisal-podatnosc-cve-2026-92419-w-webcon-bps-ktora-ujawnia/>
- Rodzaj: Streszczenie
- Data publikacji: 24.09.2026
- Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CERT Polska](https://cert.pl/posts/2026/09/CVE-2026-92419/) (23 września 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CERT Polska opublikował 23 września 2026 r. ostrzeżenie o podatności CVE-2026-92419 w oprogramowaniu WEBCON BPS. Zgłoszenie trafiło do CERT Polska, który koordynował ujawnienie informacji. Podatność dotyczy endpointu /api/vacations/{path}, a jej typ to Insecure Direct Object Reference (IDOR), sklasyfikowany jako CWE-639.

Parametr selectedPeople w API wykresu urlopowego nie sprawdza, czy użytkownik wysyłający żądanie ma prawo do danych wskazanych osób. Uwierzytelniony atakujący może podać dowolne loginy i zobaczyć harmonogramy urlopów innych pracowników, także kierowników i osób z innych oddziałów, mimo ograniczeń dostępu wynikających z logiki biznesowej. Skutkiem jest nieuprawnione ujawnienie informacji o harmonogramach. Źródło nie opisuje żadnego innego skutku.

Podatne są wersje od 2024.1.1.145 poniżej 2025.2.1.177 oraz od 2026.1.1.1 poniżej 2026.1.1.20. Poprawki zawierają wersje 2025.2.1.177 i 2026.1.1.20. Jeśli w twojej organizacji działa WEBCON BPS, sprawdź numer wersji i porównaj go z tymi zakresami. Ponieważ atak wymaga uwierzytelnienia, dotyczy przede wszystkim osób, które już mają konto w systemie.

Za zgłoszenie podatności CERT Polska dziękuje Robertowi Strzodzie.

## Pojęcia w tym tekście

- [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [IDOR](https://pelnomocnikcyber.pl/slownik/idor/): Podatność aplikacji, która nie sprawdza, czy użytkownik ma prawo do wskazanego obiektu. Po zmianie identyfikatora w adresie lub parametrze atakujący dostaje cudze dane.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 23 września 2026; tekst sprawdził i zatwierdził autor przed publikacją.