| CVE ID | CVE-2026-113618 |
| Data publikacji | 06 listopada 2026 |
| Producent podatnego oprogramowania | KAMSOFT |
| Nazwa podatnego oprogramowania | Biblioteka ZSIRep CLIENT |
| Podatne wersje | Wszystkie do 2.12.3.1 |
| Typ podatności (CWE) | Improper Certificate Validation (CWE-295) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie dotyczące podatności w bibliotece KAMSOFT ZSIRep CLIENT i uczestniczył w koordynacji jej ujawnienia.
Podatność CVE-2026-113618: Biblioteka kliencka ZSIRep (ZSIREP.CLIENT.DLL) nieprawidłowo weryfikuje certyfikat serwera. Rejestruje ona wywołanie zwrotne .NET obejmujące cały proces, które akceptuje dowolny certyfikat dla połączeń HTTPS bez weryfikacji. Osoba zdolna wykonać atak man-in-the-middle może podszyć się pod serwer ZSIRep oraz przechwycić lub zmodyfikować dane uwierzytelniania i dokumenty. Wywołanie zwrotne pozostaje aktywne po zamknięciu klienta, co wpływa na bezpieczeństwo pozostałych połączeń HTTPS w tej samej aplikacji.
Problem został rozwiązany w wersji 2.12.3.1. Biblioteka jest używana w produktach KS-SOMED (poprawione w wersji 2026.03.0.01), KS-PPS (poprawione w wersji 2026.03.1.0), KS-MEDIS (poprawione w wersji 2026.03.0.0), KS-SOLAB (poprawione w wersji 2026.3.1.0) oraz KS-ASW (poprawione w wersji 2026.3.0.1).
Podziękowania
Za zgłoszenie podatności dziękujemy Kajetanowi Pawelcowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.