Eleveo Call Recording 越权下载日志漏洞(CVE-2026-15377)

漏洞概述 Eleveo Call Recording Software 9.7.0 中的 端点存在一个 Broken Access Control 漏洞，允许低权限认证用户（没有“Other Settings”权限）下载系统日志文件。后端未正确执行基于角色的访问控制，导致未授权用户可以访问和下载本应限制给管理员的日志文件。 影响范围 受影响版本：9.7.0 影响内容：可访问各种系统和日志文件，包括 Web 服务器日志、SIP 日志、消息队列日志、JTAPI 日志、Genesys 日志等，约 30 种不同类型的日志文件。 潜在风险：敏感系统信息的泄露，包括操作细节和系统组件行为。 修复方案 联系供应商：已尝试联系 Eleveo 供应商，但截至 2026 年 3 月 14 日未收到回复。 CVE 分配：该漏洞已被分配 CVE 编号 CVE-2026-15377。 POC 代码 步骤复现 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 时间线 2026 年 10 月 3 日：首次联系供应商。 2026 年 10 月 14 日：第二次联系供应商，未收到回复。 2026 年 10 月 5 日：向 VulnDB 提交漏洞以获取 CVE 编号。 2026 年 10 月 7 日：CVE 编号分配并公布。 软件详情 供应商名称：Eleveo 软件名称：Call Recording Software 软件 URL：https://www.eleveo.com/call-recording-software 受影响版本：9.7.0 漏洞类型 Broken Access Control / Improper Authorization 复现步骤 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 时间线 2026 年 10 月 3 日：首次联系供应商。 2026 年 10 月 14 日：第二次联系供应商，未收到回复。 2026 年 10 月 5 日：向 VulnDB 提交漏洞以获取 CVE 编号。 2026 年 10 月 7 日：CVE 编号分配并公布。 软件详情 供应商名称：Eleveo 软件名称：Call Recording Software 软件 URL：https://www.eleveo.com/call-recording-software 受影响版本：9.7.0 漏洞类型 Broken Access Control / Improper Authorization 复现步骤 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 时间线 2026 年 10 月 3 日：首次联系供应商。 2026 年 10 月 14 日：第二次联系供应商，未收到回复。 2026 年 10 月 5 日：向 VulnDB 提交漏洞以获取 CVE 编号。 2026 年 10 月 7 日：CVE 编号分配并公布。 软件详情 供应商名称：Eleveo 软件名称：Call Recording Software 软件 URL：https://www.eleveo.com/call-recording-software 受影响版本：9.7.0 漏洞类型 Broken Access Control / Improper Authorization 复现步骤 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 时间线 2026 年 10 月 3 日：首次联系供应商。 2026 年 10 月 14 日：第二次联系供应商，未收到回复。 2026 年 10 月 5 日：向 VulnDB 提交漏洞以获取 CVE 编号。 2026 年 10 月 7 日：CVE 编号分配并公布。 软件详情 供应商名称：Eleveo 软件名称：Call Recording Software 软件 URL：https://www.eleveo.com/call-recording-software 受影响版本：9.7.0 漏洞类型 Broken Access Control / Improper Authorization 复现步骤 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 时间线 2026 年 10 月 3 日：首次联系供应商。 2026 年 10 月 14 日：第二次联系供应商，未收到回复。 2026 年 10 月 5 日：向 VulnDB 提交漏洞以获取 CVE 编号。 2026 年 10 月 7 日：CVE 编号分配并公布。 软件详情 供应商名称：Eleveo 软件名称：Call Recording Software 软件 URL：https://www.eleveo.com/call-recording-software 受影响版本：9.7.0 漏洞类型 Broken Access Control / Improper Authorization 复现步骤 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 时间线 2026 年 10 月 3 日：首次联系供应商。 2026 年 10 月 14 日：第二次联系供应商，未收到回复。 2026 年 10 月 5 日：向 VulnDB 提交漏洞以获取 CVE 编号。 2026 年 10 月 7 日：CVE 编号分配并公布。 软件详情 供应商名称：Eleveo 软件名称：Call Recording Software 软件 URL：https://www.eleveo.com/call-recording-software 受影响版本：9.7.0 漏洞类型 Broken Access Control / Improper Authorization 复现步骤 1. 以低权限用户登录，确保没有“Other Settings”权限。 2. 访问以下 URL： 3. 观察响应，确认可以下载日志文件。 可下载的日志文件类型 -

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Eleveo Call Recording 越权下载日志漏洞(CVE-2026-15377)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Eleveo Call Recording 越权下载日志漏洞(CVE-2026-15377)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！