CVE-2026-109164
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Aplikacja TDuck w wersji do 6.0 zawiera podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionym użytkownikom usuwać zgłoszenia formularzy innych użytkowników poprzez podanie dowolnych identyfikatorów zgłoszeń. Atakujący może umieścić własny formKey w ścieżce i iterować kolejne identyfikatory w treści żądania, aby trwale usuwać zgłoszenia w całej platformie.
Ocena ryzyka
Uwierzytelniony użytkownik może masowo usuwać dane innych użytkowników w całej platformie, co prowadzi do utraty danych i naruszenia integralności systemu. Ryzyko obejmuje również działania sabotażowe i naruszenie zaufania do aplikacji.
Rekomendacja
Zaktualizuj TDuck do wersji nowszej niż 6.0, jeśli jest dostępna, oraz wdrożyć kontrolę autoryzacji sprawdzającą, czy użytkownik ma prawo do danego zgłoszenia przed jego usunięciem. Dodatkowo należy walidować identyfikatory zgłoszeń po stronie serwera i ograniczyć możliwość iteracji.
Inne podatności w TDuck
Zobacz wszystkie- CVE-2026-100305Średnie
TDuck w wersji do 6.0 nie egzekwuje ograniczeń wypełniania formularzy na uwierzytelnionym punkcie końcowym POST /user/form/data/create. Uwierzytelniony atakujący znający klucz formularza może przesłać nieograniczoną liczbę wpisów, omijając status publikacji, okno czasowe, limity i ograniczenia per-IP, fałszując zebrane wyniki.
- CVE-2026-100304Średnie
TDuck w wersji 6.0 zawiera podatność ujawniającą informacje w FormAuthUtils.hasPermission, która w przypadku nieistnienia formularza działa w trybie fail-open, umożliwiając uwierzytelnionym użytkownikom dostęp do zgłoszeń usuniętych formularzy. Atakujący mogą odczytać osierocone dane zgłoszeń, w tym informacje osobowe, podając znany dataId do punktu końcowego GET /user/form/data/details po trwałym usunięciu formularza.
- CVE-2026-100303Średnie
TDuck w wersji do 6.0 nie posiada kontroli autoryzacji na punktach końcowych zapisu FormThemeController dla globalnych motywów i kategorii formularzy. Uwierzytelnieni użytkownicy niebędący administratorami mogą dodawać, modyfikować lub usuwać motywy i kategorie motywów, wpływając na formularze należące do innych użytkowników.
- CVE-2026-92602Wysokie
TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form through 6.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' form submissions by supplying arbitrary submission ids. Attackers can place their own formKey in the path and iterate sequential submission ids in the request body to permanently delete submissions platform-wide.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS