CVE-2025-61777
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Platforma Flag Forge w wersjach od 2.0.0 do przed 2.3.2 miała endpointy `/api/admin/badge-templates` (GET) i `/api/admin/badge-templates/create` (POST) dostępne bez uwierzytelnienia i autoryzacji. Umożliwiało to nieautoryzowanym użytkownikom pobieranie szablonów odznak wraz z metadanymi oraz tworzenie dowolnych szablonów w bazie danych. Luka została naprawiona w wersji 2.3.2.
Ocena ryzyka
Nieautoryzowany dostęp może prowadzić do wycieku danych (metadane, informacje o twórcach) oraz zanieczyszczenia bazy danych fałszywymi szablonami odznak. Może to zostać wykorzystane do nadużyć w systemie odznak i manipulacji rankingami.
Rekomendacja
Zaktualizuj Flag Forge do wersji 2.3.2 lub nowszej, która wymaga uwierzytelnienia i autoryzacji dla wszystkich operacji na szablonach odznak. Nie ma niezawodnych obejść.
Inne podatności w Flag Forge
Zobacz wszystkie- CVE-2026-21868Wysokie
Flag Forge w wersjach 2.3.2 i niższych ma podatność ReDoS (Regular Expression Denial of Service) w punkcie API profilu użytkownika (/api/user/[username]). Aplikacja dynamicznie konstruuje wyrażenie regularne z nieucieczonego wejścia użytkownika (parametr username). Atakujący może wykorzystać to, wysyłając specjalnie spreparowaną nazwę użytkownika zawierającą metaznaki regex (np. głęboko zagnieżdżone grupy lub kwantyfikatory), co powoduje nadmierne zużycie CPU przez silnik regex MongoDB. Może to prowadzić do odmowy usługi dla innych użytkowników. Problem naprawiono w wersji 2.3.3. Obejściem jest wdrożenie reguł WAF blokujących żądania z metaznakami regex w ścieżce URL.
- CVE-2025-59932Wysokie
Flag Forge to platforma Capture The Flag (CTF). Od wersji 2.0.0 do przed 2.3.1, punkt końcowy /api/resources umożliwiał wysyłanie żądań POST i DELETE bez odpowiedniego uwierzytelnienia lub autoryzacji. Mogło to umożliwić nieautoryzowanym użytkownikom tworzenie, modyfikowanie lub usuwanie zasobów na platformie. Problem został naprawiony w wersji FlagForge 2.3.1.
- CVE-2025-59843Średnie
Platforma CTF Flag Forge w wersjach od 2.0.0 do przed 2.3.2 ujawnia adresy e-mail użytkowników w odpowiedzi JSON publicznego punktu końcowego /api/user/[username]. Poprawka dostępna od wersji 2.3.2 usuwa adresy e-mail z publicznych odpowiedzi API. Brak obejść.
Oryginalny opis (angielski, źródło NVD)
Flag Forge is a Capture The Flag (CTF) platform. Starting in version 2.0.0 and prior to version 2.3.2, the `/api/admin/badge-templates` (GET) and `/api/admin/badge-templates/create` (POST) endpoints previously allowed access without authentication or authorization. This could have enabled unauthorized users to retrieve all badge templates and sensitive metadata (createdBy, createdAt, updatedAt) and/or create arbitrary badge templates in the database. This could lead to data exposure, database pollution, or abuse of the badge system. The issue has been fixed in FlagForge v2.3.2. GET, POST, UPDATE, and DELETE endpoints now require authentication. Authorization checks ensure only admins can access and modify badge templates. No reliable workarounds are available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS