Kerngegevens
- Leverancier
- Ahsay
- Product
- Ahsay AhsayCBS
- Soort software
- –
- Getroffen versies
- Ahsay AhsayCBS tot en met 10.3.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Ahsay AhsayCBS 10.3.4
- CVE gepubliceerd
- 4 oktober 2026
- Op de KEV-lijst sinds
- 14 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Ahsay AhsayCBS zit een fout in de controle van de inloggegevens (authenticatie) in de API. Door de waarde van de parameter 'random' te manipuleren, kan een aanvaller de controle omzeilen. Het lek is via het netwerk uit te buiten en staat sinds oktober 2026 op de lijst van actief misbruikte lekken (KEV). Het is dus onlangs aan die lijst toegevoegd.
Wie loopt risico?
Je loopt risico als je Ahsay AhsayCBS gebruikt in een versie tot en met 10.3.2. Vooral installaties waarvan de API bereikbaar is via internet of een ander netwerk waarin je niet iedereen vertrouwt, zijn een doelwit. Voor de aanval is geen account en geen handeling van een gebruiker nodig.
Wat moet je doen?
Controleer je versie
Kijk na of je AhsayCBS gebruikt en welke versie er draait. Versies tot en met 10.3.2 zijn getroffen.
Werk bij naar 10.3.4
Installeer Ahsay AhsayCBS 10.3.4. Volgens de leverancier lost deze versie het probleem op. De release notes van Ahsay beschrijven de update.
Beperk de bereikbaarheid
Kun je niet direct bijwerken? Zorg dan dat AhsayCBS en de API niet zomaar vanaf internet bereikbaar zijn, bijvoorbeeld via een firewall of VPN.
Kijk op verdachte activiteit
Het lek wordt actief misbruikt. Bekijk daarom de logs van je AhsayCBS-server op ongebruikelijke API-aanroepen of onverwachte toegang.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De fout zit in de functie checkSysPwd in het bestand com/ahsay/obs/api/ApiStructsAction.java van het API-onderdeel van AhsayCBS. Door het argument 'random' te manipuleren wordt de authenticatie onjuist afgehandeld (CWE-287). De aanval is op afstand uit te voeren, zonder rechten en zonder gebruikersinteractie. De CNA geeft een CVSS 4.0-score van 5,5 met een lage impact op vertrouwelijkheid, integriteit en beschikbaarheid. Versies tot en met 10.3.2 zijn getroffen en versie 10.3.4 verhelpt het probleem.
CVSS-vector (versie 4.0, basisscore 6,9, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 79,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 14 oktober 2026
- Deadline van CISA
- 17 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies