CVE-2026-107828
ŚrednieCVSS 6.5Streszczenie
Jivejdon do wersji 5.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do kont utworzonych przez Weibo poprzez wywnioskowanie przewidywalnych poświadczeń z publicznych identyfikatorów użytkowników Weibo. OAuthAccountServiceImp.transferSina() ustawia hasło na pierwsze cztery cyfry identyfikatora Weibo, co pozwala atakującym zalogować się przez zwykły formularz logowania, aby czytać lub publikować w imieniu ofiar.
Ocena ryzyka
Atakujący może przejąć konta użytkowników powiązanych z Weibo i działać w ich imieniu. Może to prowadzić do nieautoryzowanego dostępu do danych i publikowania treści w imieniu ofiar.
Rekomendacja
Zaktualizuj Jivejdon do wersji, która nie używa przewidywalnych poświadczeń dla kont Weibo. Wymuś zmianę haseł dla wszystkich kont utworzonych przez Weibo i rozważ ponowną weryfikację powiązań OAuth.
Inne podatności w Jivejdon
Zobacz wszystkie- CVE-2026-107831Średnie
Jivejdon do wersji 5.0 zawiera podatność cross-site request forgery (CSRF), która pozwala zdalnym atakującym na wykonywanie akcji zmieniających stan poprzez wykorzystanie endpointów GET bez tokenów anty-CSRF. Atakujący mogą nakłonić uwierzytelnionych użytkowników do kliknięcia spreparowanych linków prowadzących do /account/protected/delAll, /account/protected/sub/delSub lub /message/updateAction, aby usunąć prywatne wiadomości i subskrypcje lub zmienić nazwy wątków.
- CVE-2026-107830Średnie
Jivejdon od commita e0306088 do commita ee67a65e nie ma ograniczeń szybkości (rate limiting) na nieuwierzytelnionym endpointcie /account/smsVRAction obsługiwanym przez SmsQQAction, co pozwala na nieograniczone wysyłanie SMS-ów. Atakujący mogą załadować newAccount.jsp, aby ustawić atrybuty sesji, a następnie wielokrotnie wywoływać endpoint w celu nękania dowolnych numerów telefonów i wyczerpania salda Tencent Cloud SMS operatora.
- CVE-2026-107829Średnie
Jivejdon do wersji 5.0 zawiera podatność słabego przechowywania haseł, polegającą na zapisywaniu haseł kont jako niesolonych skrótów MD5 za pomocą ToolsUtil.hash() w AccountDaoSql. Atakujący, którzy uzyskają tabelę użytkowników poprzez dostęp do bazy danych lub wstrzyknięcie SQL, mogą złamać hasła za pomocą prekomputowanych tablic lub ataków GPU.
- CVE-2026-107801Średnie
Jivejdon do wersji 5.0 zawiera podatność przechowywanego cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym na wykonanie JavaScriptu poprzez przesyłanie załączników z nagłówkiem Content-Type dostarczonym przez atakującego. Atakujący mogą przesłać plik zadeklarowany jako text/html, który UploadShowAction serwuje inline, i udostępnić jego link, aby uruchomić JavaScript w domenie aplikacji u przeglądających użytkowników.
- CVE-2026-107800Średnie
Jivejdon do wersji 5.0 zawiera podatność przechowywanego cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym na wstrzyknięcie skryptu do prywatnych krótkich wiadomości, ponieważ receiveshortmessage.jsp renderuje nieprzefiltrowane treści wiadomości. Atakujący mogą wysłać krótką wiadomość zawierającą skrypt, który ToolsUtil.convertURL() przepuszcza bez zmian, aby wykonać kod w przeglądarce odbiorcy po otwarciu.
- CVE-2026-107799Średnie
Jivejdon do wersji 5.0 zawiera podatność przechowywanego cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym na wstrzyknięcie skryptu poprzez publikowanie nieoczyszczonych treści wiadomości forumowych. Treści wiadomości są renderowane przez messageListBody.jsp z filter="false" i domyślnymi filtrami nieescapującymi, co powoduje wykonanie skryptu w przeglądarce każdego użytkownika przeglądającego wątek.
- CVE-2026-107798Średnie
jivejdon od commita 595d8d22 do commita ee67a65e zawiera podatność na trwały cross-site scripting w domyślnie włączonym filtrze TextStyle, który wstawia niezweryfikowane adresy URL do atrybutów href kotwic. Uwierzytelnieni atakujący mogą publikować wiadomości z linkami javascript: lub adresami URL łamiącymi cytowanie, aby wykonać JavaScript, gdy inni użytkownicy klikną lub najadą na wyrenderowane linki.
- CVE-2026-107797Średnie
Jivejdon do wersji 5.0 zawiera podatność na odbity cross-site scripting w application/message/postThread.jsp, która pozwala atakującym wstrzyknąć skrypt przez parametry to i tag. Atakujący mogą wysyłać spreparowane linki do uwierzytelnionych użytkowników, przełamując niekodowane literały ciągów JavaScript w linii, aby wykonać dowolny JavaScript w sesji ofiary.
- CVE-2026-107796Średnie
Jivejdon od commita 5489372d do commita ee67a65e zawiera podatność na odbity cross-site scripting w application/query/taggedThreadList.jsp, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypt przez niekodowane parametry tagID i count. Atakujący mogą spreparować link z ładunkiem zamykającym skrypt w tagID lub count, wyzwalanym, gdy start przekracza zero, aby wykonać JavaScript w przeglądarkach ofiar.
- CVE-2026-107793Średnie
Jivejdon do wersji 5.0 zawiera podatność na obejście autoryzacji w SubscriptionServiceImp.deleteSubscription, która pozwala uwierzytelnionym użytkownikom usuwać subskrypcje innych użytkowników po ID. Atakujący mogą wysłać akcję usunięcia do /account/protected/sub/subSaveAction z cudzym subscriptionId, aby usunąć subskrypcje wątków, forów, tagów lub kont.
Oryginalny opis (angielski, źródło NVD)
Jivejdon through 5.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to access Weibo-created accounts by deriving predictable credentials from public Weibo user IDs. OAuthAccountServiceImp.transferSina() sets the password to the first four digits of the Weibo ID, letting attackers log in through normal form login to read or post as victims.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS