CVE-2025-59843
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Platforma CTF Flag Forge w wersjach od 2.0.0 do przed 2.3.2 ujawnia adresy e-mail użytkowników w odpowiedzi JSON publicznego punktu końcowego /api/user/[username]. Poprawka dostępna od wersji 2.3.2 usuwa adresy e-mail z publicznych odpowiedzi API. Brak obejść.
Ocena ryzyka
Ujawnienie adresów e-mail może prowadzić do ataków phishingowych lub naruszenia prywatności użytkowników.
Rekomendacja
Zaktualizuj Flag Forge do wersji 2.3.2 lub nowszej, aby wyeliminować wyciek danych.
Inne podatności w Flag Forge
Zobacz wszystkie- CVE-2026-21868Wysokie
Flag Forge w wersjach 2.3.2 i niższych ma podatność ReDoS (Regular Expression Denial of Service) w punkcie API profilu użytkownika (/api/user/[username]). Aplikacja dynamicznie konstruuje wyrażenie regularne z nieucieczonego wejścia użytkownika (parametr username). Atakujący może wykorzystać to, wysyłając specjalnie spreparowaną nazwę użytkownika zawierającą metaznaki regex (np. głęboko zagnieżdżone grupy lub kwantyfikatory), co powoduje nadmierne zużycie CPU przez silnik regex MongoDB. Może to prowadzić do odmowy usługi dla innych użytkowników. Problem naprawiono w wersji 2.3.3. Obejściem jest wdrożenie reguł WAF blokujących żądania z metaznakami regex w ścieżce URL.
- CVE-2025-61777Krytyczne
Platforma Flag Forge w wersjach od 2.0.0 do przed 2.3.2 miała endpointy `/api/admin/badge-templates` (GET) i `/api/admin/badge-templates/create` (POST) dostępne bez uwierzytelnienia i autoryzacji. Umożliwiało to nieautoryzowanym użytkownikom pobieranie szablonów odznak wraz z metadanymi oraz tworzenie dowolnych szablonów w bazie danych. Luka została naprawiona w wersji 2.3.2.
- CVE-2025-59932Wysokie
Flag Forge to platforma Capture The Flag (CTF). Od wersji 2.0.0 do przed 2.3.1, punkt końcowy /api/resources umożliwiał wysyłanie żądań POST i DELETE bez odpowiedniego uwierzytelnienia lub autoryzacji. Mogło to umożliwić nieautoryzowanym użytkownikom tworzenie, modyfikowanie lub usuwanie zasobów na platformie. Problem został naprawiony w wersji FlagForge 2.3.1.
Oryginalny opis (angielski, źródło NVD)
Flag Forge is a Capture The Flag (CTF) platform. From versions 2.0.0 to before 2.3.2, the public endpoint /api/user/[username] returns user email addresses in its JSON response. The fix, intended for release in 2.3.1 but only available starting in version 2.3.2, removes email addresses from public API responses while keeping the endpoint publicly accessible. Users should upgrade to version 2.3.2 or later to eliminate exposure. There are no workarounds for this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS