CVE-2026-49464— NL Portal 其他用户任务越权篡改漏洞
一分钟漏洞结论
影响对象
nl-portal nl-portal-backend-libraries
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
NL Portal 后端库为荷兰政府门户提供后端组件，这些门户用于与居民、客户、供应商和合作伙伴组织进行交互。从 1.5.0 到 3.0.0 版本的 包在处理 GraphQL 突变（mutation）时未验证资源所有权，这使得已知或能够猜到他人任务 ID 的已认证用户可以读取其表单数据、覆盖其提交的数据，并将该任务标记为已完成。该问题在 3.0.1 版本中已修复。作为临时规避措施，可在 API 网关层拦截 突变，或将 端点限制在受信任的网络内访问。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-49464 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
NL Portal: IDOR allows any authenticated user to complete and tamper with another user's taak
来源: CVE Program / CVE List V5
Vulnerability Description
NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. The `nl.nl-portal:taak` package from version 1.5.0 through 3.0.0 fails to verify ownership when processing the `submitTaakV2` GraphQL mutation, allowing an authenticated user who knows or guesses another user’s task ID to read its form data, overwrite its submitted data, and mark the task as completed. Version 3.0.1 contains a patch. As a workaround, block the `submitTaakV2` mutation at the API gateway or restrict the `/graphql` endpoint to trusted networks
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过用户控制密钥绕过授权机制
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| nl-portal | nl-portal-backend-libraries | >= 1.5.0, < 3.0.1 | - |
|
二、漏洞 CVE-2026-49464 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-49464 的情报信息
请登录查看更多情报信息。
CVE-2026-49464 其他参考 (1)
同批安全公告 · nl-portal · 2026-09-11 · 共 3 条
| CVE-2026-49463 | 6.5 MEDIUM | NL Portal 后端 GraphQL 权限缺失 |
| CVE-2026-49462 | 5.3 MEDIUM | NL Portal 默认启用GraphiQL及GraphQL内省 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-49464
暂无评论