CVE-2026-100305
ŚrednieCVSS 4.3Streszczenie
TDuck w wersji do 6.0 nie egzekwuje ograniczeń wypełniania formularzy na uwierzytelnionym punkcie końcowym POST /user/form/data/create. Uwierzytelniony atakujący znający klucz formularza może przesłać nieograniczoną liczbę wpisów, omijając status publikacji, okno czasowe, limity i ograniczenia per-IP, fałszując zebrane wyniki.
Ocena ryzyka
Integralność danych ankietowych może zostać naruszona poprzez masowe fałszowanie odpowiedzi, co prowadzi do błędnych wniosków i utraty zaufania do wyników. Może to mieć wpływ na decyzje biznesowe oparte na zmanipulowanych danych.
Rekomendacja
Zaktualizuj TDuck do wersji nowszej niż 6.0, jeśli jest dostępna, lub wdroż dodatkowe kontrole po stronie serwera egzekwujące limity i status publikacji. Rozważ ograniczenie dostępu do punktu końcowego i monitorowanie nietypowych wzorców przesyłania.
Inne podatności w TDuck
Zobacz wszystkie- CVE-2026-100304Średnie
TDuck w wersji 6.0 zawiera podatność ujawniającą informacje w FormAuthUtils.hasPermission, która w przypadku nieistnienia formularza działa w trybie fail-open, umożliwiając uwierzytelnionym użytkownikom dostęp do zgłoszeń usuniętych formularzy. Atakujący mogą odczytać osierocone dane zgłoszeń, w tym informacje osobowe, podając znany dataId do punktu końcowego GET /user/form/data/details po trwałym usunięciu formularza.
- CVE-2026-100303Średnie
TDuck w wersji do 6.0 nie posiada kontroli autoryzacji na punktach końcowych zapisu FormThemeController dla globalnych motywów i kategorii formularzy. Uwierzytelnieni użytkownicy niebędący administratorami mogą dodawać, modyfikować lub usuwać motywy i kategorie motywów, wpływając na formularze należące do innych użytkowników.
- CVE-2026-92602Wysokie
TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form through 6.0 fails to enforce form fill-in restrictions on the authenticated submission endpoint POST /user/form/data/create. Authenticated attackers who know a form's key can submit unlimited entries to any form, bypassing publish status, time window, quota, and per-IP restrictions to falsify collected results.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS