Płatnik 軟體曝多項安全漏洞：HTTP、弱密碼、客戶端驗證缺陷
Vulnerabilities in Płatnik software
重點導讀
Płatnik 軟體（由 Zakład Ubezpieczeń Społecznych 開發）在 10.02.002 版本之前的所有版本均存在三項安全漏洞，分別為 HTTP 傳輸、弱密碼編碼與客戶端驗證問題。
推薦理由
此漏洞揭示公共系統在傳輸與身份驗證層面仍存重大風險，提示開發者重視 HTTPS 及強加密措施，並加速修補更新。
正文 · 中文翻譯
Płatnik 軟體的漏洞
| CVE ID | CVE-2026-110970 |
| 釋出日期 | 30 October 2026 |
| 供應商 | Zakład Ubezpieczeń Społecznych |
| 產品 | Płatnik |
| 易受攻擊版本 | All before metric 242 in version 10.02.002 |
| 漏洞型別 (CWE) | 依賴 HTTP 而非 HTTPS (CWE-1428) |
| 報告來源 | 報告給 CERT Polska |
| CVE ID | CVE-2026-110971 |
| 釋出日期 | 30 October 2026 |
| 供應商 | Zakład Ubezpieczeń Społecznych |
| 產品 | Płatnik |
| 易受攻擊版本 | All before metric 242 in version 10.02.002 |
| 漏洞型別 (CWE) | 弱密碼編碼 (CWE-261) |
| 報告來源 | 報告給 CERT Polska |
| CVE ID | CVE-2026-110972 |
| 釋出日期 | 30 October 2026 |
| 供應商 | Zakład Ubezpieczeń Społecznych |
| 產品 | Płatnik |
| 易受攻擊版本 | All before metric 242 in version 10.02.002 |
| 漏洞型別 (CWE) | 使用客戶端驗證 (CWE-603) |
| 報告來源 | 報告給 CERT Polska |
說明
CERT Polska 已收到關於 Zakład Ubezpieczeń Społecznych 維護的 Płatnik 軟體漏洞的報告，並參與協調其披露。
漏洞 CVE-2026-110970：Płatnik 使用 HTTP 協議下載更新、函式庫與支援檔案。這允許攻擊者執行中間人攻擊，取得傳輸資料並以自己的檔案取代原始檔案。
漏洞 CVE-2026-110971：Płatnik 軟體使用弱密碼編碼演算法，讓取得編碼密碼的使用者能輕易解碼。
漏洞 CVE-2026-110972：Płatnik 執行客戶端驗證。擁有任何連線至後端伺服器的應用程式例項存取權的攻擊者，可繞過登入驗證流程並以任意使用者身分進行認證。
這些問題已於 metric 242 版本 10.02.002 中修復。
致謝
我們感謝 Wojciech Giełda 對 CVE-2026-110971 與 CVE-2026-110972 漏洞負責報告的貢獻。
更多關於 CERT Polska 協調漏洞披露流程的資訊可在 https://cert.pl/en/cvd/ 找到。