CVE-2026-100304
ŚrednieCVSS 5.3Streszczenie
TDuck w wersji 6.0 zawiera podatność ujawniającą informacje w FormAuthUtils.hasPermission, która w przypadku nieistnienia formularza działa w trybie fail-open, umożliwiając uwierzytelnionym użytkownikom dostęp do zgłoszeń usuniętych formularzy. Atakujący mogą odczytać osierocone dane zgłoszeń, w tym informacje osobowe, podając znany dataId do punktu końcowego GET /user/form/data/details po trwałym usunięciu formularza.
Ocena ryzyka
Nieuprawniony dostęp do danych osobowych z usuniętych formularzy może prowadzić do naruszenia prywatności i zgodności z przepisami (np. RODO). Ujawnienie tych informacji może skutkować konsekwencjami prawnymi i reputacyjnymi.
Rekomendacja
Zaktualizuj TDuck do wersji nowszej niż 6.0, jeśli jest dostępna, lub popraw logikę FormAuthUtils.hasPermission, aby domyślnie odmawiać dostępu. Rozważ audyt istniejących danych i wdrożenie dodatkowych kontroli dostępu.
Inne podatności w TDuck
Zobacz wszystkie- CVE-2026-100305Średnie
TDuck w wersji do 6.0 nie egzekwuje ograniczeń wypełniania formularzy na uwierzytelnionym punkcie końcowym POST /user/form/data/create. Uwierzytelniony atakujący znający klucz formularza może przesłać nieograniczoną liczbę wpisów, omijając status publikacji, okno czasowe, limity i ograniczenia per-IP, fałszując zebrane wyniki.
- CVE-2026-100303Średnie
TDuck w wersji do 6.0 nie posiada kontroli autoryzacji na punktach końcowych zapisu FormThemeController dla globalnych motywów i kategorii formularzy. Uwierzytelnieni użytkownicy niebędący administratorami mogą dodawać, modyfikować lub usuwać motywy i kategorie motywów, wpływając na formularze należące do innych użytkowników.
- CVE-2026-92602Wysokie
TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form 6.0 contains an information disclosure vulnerability in FormAuthUtils.hasPermission that fails open when a form does not exist, allowing authenticated users to access deleted form submissions. Attackers can read orphaned submission data including personal information by providing a known dataId to the GET /user/form/data/details endpoint after the form has been permanently deleted.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS