Uma vulnerabilidade na API de reserva SpiceJetÕs permite que usuários não autênticos consultem registros de nomes de passageiros (PNRs) sem quaisquer controles de acesso. Como os identificadores PNR seguem um padrão previsível, um atacante pode enumerar sistematicamente registros válidos e obter nomes de passageiros associados. Esta falha deriva da falta de verificação de autorização em um objetivo destinado ao acesso ao perfil autenticado. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 6375 foi publicado em 2026 - 04 - 23 T 21: 16: 06.370 Z e última modificação em 2026 - 06 - 17 T 11: 00: 44.763 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 8.7, gravidade HIGH, vetor CVSS: 4.0 /AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X; CVSS. Classificações de fraqueza associadas: CWE- 639.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.