CVE-2026-109165
ŚrednieCVSS 4.3Streszczenie
TDuck survey form do wersji 6.0 zawiera podatność uszkodzonej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na dodawanie pól do formularzy innych użytkowników poprzez POST /user/form/item/batch/create. Atakujący mogą przesłać tablicę, której pierwszy element odnosi się do ich własnego formularza, a kolejne elementy odnoszą się do formKey ofiary, wstrzykując wybrane przez atakującego pola na publiczną stronę wypełniania ofiary.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację formularzy innych użytkowników, co może prowadzić do manipulacji danymi zbieranymi od respondentów i naruszenia integralności procesu ankiet.
Rekomendacja
Zaleca się aktualizację TDuck survey form do wersji nowszej niż 6.0 oraz wdrożenie kontroli dostępu w punkcie końcowym batch/create, aby weryfikować, czy użytkownik ma uprawnienia do modyfikacji danego formularza.
Inne podatności w TDuck survey form
Zobacz wszystkie- CVE-2026-109167Średnie
TDuck survey form do wersji 6.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w obsłudze saveFormTheme, która pozwala uwierzytelnionym użytkownikom na nadpisywanie motywów formularzy innych użytkowników. Atakujący, których formularz nie ma motywu, mogą przesłać sekwencyjny identyfikator motywu innego formularza wraz z własnym formKey, zastępując jego kolory i adresy URL obrazów oraz usuwając motyw ofiary.
- CVE-2026-100306Średnie
TDuck survey form do wersji 6.0 nie weryfikuje haseł zapisu na punktach końcowych przesyłania, egzekwując sprawdzenie tylko na froncie. Zdalni nieuwierzytelnieni atakujący mogą przesyłać wpisy formularza bezpośrednio do publicznych API przesyłania bez podawania hasła, używając klucza formularza z linków udostępniania.
- CVE-2026-92567Średnie
Podatność obejścia autoryzacji w formularzu ankiety TDuck do wersji 5.0 w punkcie końcowym POST /user/form/data/update pozwala uwierzytelnionym użytkownikom na nadpisywanie danych przesłanych przez innych użytkowników. Atakujący mogą odkryć identyfikatory zgłoszeń przydzielane w wąskich zakresach i modyfikować dowolne odpowiedzi zawierające dane osobowe bez weryfikacji własności.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form through 6.0 contains a broken access control vulnerability that allows authenticated users to add fields to other users' forms via POST /user/form/item/batch/create. Attackers can submit an array whose first element references their own form and later elements reference a victim's formKey, injecting attacker-chosen fields onto the victim's public fill page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS