CVE-2026-100303
ŚrednieCVSS 5.4Streszczenie
TDuck w wersji do 6.0 nie posiada kontroli autoryzacji na punktach końcowych zapisu FormThemeController dla globalnych motywów i kategorii formularzy. Uwierzytelnieni użytkownicy niebędący administratorami mogą dodawać, modyfikować lub usuwać motywy i kategorie motywów, wpływając na formularze należące do innych użytkowników.
Ocena ryzyka
Nieautoryzowane modyfikacje motywów mogą prowadzić do uszkodzenia wyglądu lub funkcjonalności formularzy innych użytkowników, powodując przerwy w działaniu i potencjalne straty wizerunkowe. Może to również naruszyć integralność danych i zaufanie użytkowników.
Rekomendacja
Zaktualizuj TDuck do wersji nowszej niż 6.0, jeśli jest dostępna, lub wdroż odpowiednie kontrole autoryzacji dla punktów końcowych FormThemeController. Ogranicz możliwość modyfikacji globalnych motywów tylko do administratorów.
Inne podatności w TDuck
Zobacz wszystkie- CVE-2026-100305Średnie
TDuck w wersji do 6.0 nie egzekwuje ograniczeń wypełniania formularzy na uwierzytelnionym punkcie końcowym POST /user/form/data/create. Uwierzytelniony atakujący znający klucz formularza może przesłać nieograniczoną liczbę wpisów, omijając status publikacji, okno czasowe, limity i ograniczenia per-IP, fałszując zebrane wyniki.
- CVE-2026-100304Średnie
TDuck w wersji 6.0 zawiera podatność ujawniającą informacje w FormAuthUtils.hasPermission, która w przypadku nieistnienia formularza działa w trybie fail-open, umożliwiając uwierzytelnionym użytkownikom dostęp do zgłoszeń usuniętych formularzy. Atakujący mogą odczytać osierocone dane zgłoszeń, w tym informacje osobowe, podając znany dataId do punktu końcowego GET /user/form/data/details po trwałym usunięciu formularza.
- CVE-2026-92602Wysokie
TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form through 6.0 lacks authorization checks on FormThemeController write endpoints for global form themes and categories. Authenticated non-admin users can add, modify, or delete themes and theme categories affecting forms owned by other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS