CVE-2026-104058

ŚrednieCVSS 5.3

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Podgrab zawiera podatność braku uwierzytelnienia, w której trasa WebSocket /ws jest zarejestrowana w głównym silniku gin zamiast w grupie routerów chronionej BasicAuth, co pozwala nieuwierzytelnionym klientom sieciowym na połączenie nawet przy skonfigurowanym haśle. Atakujący mogą dołączyć do zestawu allConnections, przechwycić transmisje PlayerExists zawierające identyfikatory graczy dostarczane przez klientów i odtworzyć je w wiadomości RegisterPlayer, aby przejąć kolejki payloadów przeznaczonych dla uwierzytelnionych użytkowników, ujawniając identyfikatory odcinków, tytuły i ścieżki plików po stronie serwera, a także potencjalnie zakłócając legalne odtwarzanie.

Ocena ryzyka

Atakujący może uzyskać dostęp do wrażliwych informacji o odcinkach i plikach oraz zakłócać działanie aplikacji, co może naruszyć prywatność użytkowników i integralność usługi.

Rekomendacja

Zaktualizuj Podgrab do wersji, która rejestruje trasę /ws w grupie routerów chronionej BasicAuth, oraz upewnij się, że uwierzytelnienie jest wymagane dla wszystkich połączeń WebSocket.

Inne podatności w Podgrab

CVE-2026-104057Wysokie
Podgrab zawiera podatność na atak DoS bez uwierzytelnienia, spowodowaną niesynchronizowanym dostępem do współdzielonych map w handlerze WebSocket. Zdalny atakujący może otworzyć wiele połączeń WebSocket i wysyłać wiadomości w pętli, co powoduje wyścig danych w Go i crash procesu, wymagający interwencji operatora.

Oryginalny opis (angielski, źródło NVD)

Podgrab contains a missing authentication vulnerability in which the /ws WebSocket route is registered on the root gin engine instead of the BasicAuth-protected router group, allowing unauthenticated network clients to connect even when PASSWORD is configured. Attackers can join the allConnections set, capture PlayerExists broadcasts containing client-supplied player identifiers, and replay them in a RegisterPlayer message to hijack queue payloads intended for authenticated users, exposing episode IDs, titles, and server-side file paths while potentially disrupting legitimate playback.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS