CVE-2026-105307

Casdoor do wersji 4.4.0 zawiera podatność obejścia autoryzacji w punkcie końcowym /api/mcp, która pozwala atakującym z dowolnym clientId i clientSecret aplikacji uzyskać nieograniczony dostęp do administracji użytkownikami we wszystkich organizacjach. Atakujący mogą wyliczać rekordy użytkowników, w tym sole haseł i adresy e-mail, tworzyć konta administratorów, modyfikować i usuwać użytkowników w dowolnej organizacji.

Casdoor do wersji 4.4.0 nie maskuje prawidłowo wbudowanego, instancyjnego klucza prywatnego certyfikatu w endpointach /api/get-certs i /api/get-cert, umożliwiając jego pobranie administratorom organizacji. Ujawniony klucz pozwala sfałszować tokeny JWT dla dowolnego użytkownika w dowolnej organizacji, w tym globalnych administratorów.

W Casdoor do wersji 3.164.0/4.10.0 wykryto lukę w funkcji CasP3ProxyValidate w pliku controllers/cas.go komponentu Proxy Validation. Manipulacja argumentem pgtUrl prowadzi do podatności SSRF (Server-Side Request Forgery). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność w Casdoor do wersji 4.0.0 dotyczy nieznanej funkcji w pliku controllers/resource.go komponentu upload-resource API. Manipulacja prowadzi do braku uwierzytelnienia, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a vendor usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt mailowy.

W aplikacji istnieją punkty końcowe API przeznaczone do celów deweloperskich i testowych, które odzwierciedlają funkcjonalność produkcyjną. Oznacza to, że mogą one być dostępne w środowisku produkcyjnym, co stwarza ryzyko nieautoryzowanego dostępu.

Casdoor 2.356.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie Webhook URL Handler. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.

W systemie Casdoor w wersji 2.356.0 funkcja dangerouslySetInnerHTML jest podatna na atak XSS poprzez manipulację argumentami formCss, formCssMobile lub formSideHtml. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

W Casdoor 2.356.0 stwierdzono podatność w komponencie OAuth Authorization Request Handler. Manipulacja argumentem redirect_uri prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Casdoor w wersji 2.26.0 i wcześniejszych, w module weryfikacji uprawnień oraz interfejsie edycji organizacji/aplikacji, stwierdzono podatność umożliwiającą zdalnie uwierzytelnionym administratorom dowolnej organizacji ominięcie mechanizmu weryfikacji uprawnień poprzez bezpośrednie łączenie adresów URL po zalogowaniu. Problem został naprawiony w wersji 2.63.0.

W wersji 1.331.0 i wcześniejszych Casdoor zidentyfikowano podatność typu Cross-Site Request Forgery (CSRF) w punkcie końcowym /api/set-password. Umożliwia ona atakującym dowolną zmianę hasła ofiary poprzez dostarczenie spreparowanego adresu URL.