Kerngegevens
- Leverancier
- PHP
- Product
- phpIPAM
- Soort software
- basissoftware
- Getroffen versies
- phpIPAM tot en met 1.8.3
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 25 september 2026
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In phpIPAM, een webtoepassing voor het beheren van IP-adressen, controleert de API niet goed of een gebruiker bepaalde gegevens wel mag opvragen. Het gaat om de aanvragen met de waarden "admins" en "all" in het onderdeel voor gebruikers van de API. Daardoor kan iemand mogelijk gegevens inzien waarvoor hij geen toestemming hoort te hebben.
Wie loopt risico?
Je loopt risico als je phpIPAM tot en met versie 1.8.3 gebruikt. Volgens de CVSS-beoordeling hoeft een aanvaller niet in te loggen en kan hij het lek via het netwerk misbruiken. Hoe groter de kans dat de API vanaf internet of een groot intern netwerk bereikbaar is, hoe groter het risico. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt, en er is geen openbare exploit bekend.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Controleer je versie
Kijk na welke versie van phpIPAM je gebruikt. Versie 1.8.3 en ouder is getroffen.
Volg het advies van de leverancier
In de gegevens staat nog geen opgeloste versie. Houd de releases en meldingen van het phpIPAM-project in de gaten en installeer een update zodra die beschikbaar is.
Beperk de bereikbaarheid van de API
Zorg dat phpIPAM en de API alleen bereikbaar zijn vanaf vertrouwde netwerken, bijvoorbeeld via een firewall of VPN. Schakel de API uit als je die niet gebruikt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In phpIPAM tot en met 1.8.3 zit een autorisatiefout in api/controllers/User.php. De controle op toegangsrechten is onjuist voor aanvragen met id gelijk aan "admins" en id gelijk aan "all". Dit valt onder CWE-863, onjuiste autorisatie. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N) wijst op misbruik via het netwerk, met lage complexiteit, zonder rechten en zonder interactie van een gebruiker. De impact betreft vooral de vertrouwelijkheid van gegevens, en de scope wordt als gewijzigd beoordeeld. De EPSS-score is 0,003.
CVSS-vector (versie 3.1, basisscore 8,6, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-863 · Onjuiste autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee