CVE-2026-108740
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
GoatCounter do wersji 2.7.0 zawiera podatność eskalacji uprawnień przez masowe przypisanie w handlerze userPrefSave, która pozwala zalogowanym użytkownikom modyfikować chronione pola konta za pomocą żądań form-encoded. Atakujący z dostępem tylko do odczytu mogą wysłać POST user.access[all]=* i user.email_verified=true do /user/pref, omijając znaczniki readonly, aby uzyskać dostęp superużytkownika lub administratora.
Ocena ryzyka
Organizacja naraża się na eskalację uprawnień przez zalogowanych użytkowników, którzy mogą uzyskać pełny dostęp administracyjny i przejąć kontrolę nad systemem. Może to prowadzić do nieautoryzowanych zmian danych i konfiguracji.
Rekomendacja
Zaktualizuj GoatCounter do wersji nowszej niż 2.7.0, jeśli jest dostępna, oraz przejrzyj konta użytkowników pod kątem nieautoryzowanych zmian uprawnień. Ogranicz dostęp do endpointu /user/pref i monitoruj nietypowe żądania.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
GoatCounter through 2.7.0 contains a mass assignment privilege escalation vulnerability in the userPrefSave handler that allows logged-in users to modify protected account fields via form-encoded requests. Attackers with read-only access can POST user.access[all]=* and user.email_verified=true to /user/pref, bypassing readonly tags to gain superuser or admin access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS