CVE-2026-109176

MoguBlog do wersji 6.2 nie weryfikuje tożsamości autora komentarza w punkcie końcowym POST /web/comment/add, co pozwala uwierzytelnionym użytkownikom publikować komentarze przypisane do dowolnego innego użytkownika. Atakujący mogą podać dowolne wartości userUid w treści żądania, aby podszyć się pod inne konta, w tym administratorów.

MoguBlog do wersji 6.2 zawiera lukę złamanej kontroli dostępu, która pozwala uwierzytelnionym administratorom na przenoszenie lub zmianę nazw plików dysku sieciowego innych administratorów poprzez podanie ich ścieżek plików. Atakujący mogą wysyłać spreparowane żądania do POST /networkDisk/moveFile, batchMoveFile lub edit, które aktualizują wiersze bez sprawdzania admin_uid, przenosząc lub zmieniając nazwy plików i folderów innych użytkowników.

MoguBlog do wersji 6.2 zawiera lukę niezabezpieczonego bezpośredniego odwołania do obiektu, która pozwala uwierzytelnionym administratorom na wyświetlanie plików dysku sieciowego innych administratorów poprzez POST /networkDisk/getFileList. Atakujący mogą odpytywać endpoint, który filtruje tylko według statusu, typu pliku lub filePath, a nigdy według admin_uid, aby uzyskać nazwy plików i adresy URL do pobrania innych administratorów.

MoguBlog do wersji 6.2 zawiera lukę ujawnienia informacji, która pozwala niskouprzywilejowanym użytkownikom front-endu na odczyt poświadczeń systemowych poprzez endpoint getSystemConfig. Atakujący mogą podać zwykły token sesji czytelnika, aby uzyskać niefiltrowane dane SystemConfig, ujawniając klucze tajne Qiniu i MinIO oraz hasła do skrzynek SMTP.

MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym POST /pictureSort/getPictureSortByUid, który pomija adnotację @AuthorityVerify wymaganą do egzekwowania uprawnień opartych na rolach. Uwierzytelnieni użytkownicy back-office bez uprawnień do kategorii obrazów mogą podać uid kategorii, aby uzyskać dostęp do zastrzeżonych rekordów kategorii obrazów, w tym metadanych takich jak nazwa, uid pliku okładki, kolejność sortowania i znaczniki czasu.

MoguBlog do wersji 6.2 nie uwierzytelnia żądań do endpointu /web/comment/closeEmailNotification. Nieuwierzytelniony atakujący może wyłączyć powiadomienia e-mail dla dowolnego użytkownika, modyfikując flagę startEmailNotification w pamięci podręcznej Redis.

MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym usuwania komentarzy, który sprawdza własność na podstawie pól treści żądania zamiast uwierzytelnionego podmiotu. Atakujący może usuwać dowolne komentarze i ich odpowiedzi, podając identyfikatory komentarzy i autorów uzyskane z nieuwierzytelnionych punktów końcowych listowania.

MoguBlog do wersji 6.2 udostępnia endpointy zarządzania indeksem Elasticsearch w usłudze mogu_search bez uwierzytelniania. Zdalny atakujący może usuwać, odtwarzać lub modyfikować indeks wyszukiwania bloga, co prowadzi do błędnych lub braku wyników wyszukiwania.

MoguBlog do wersji 6.2 zawiera podatność XML external entity injection w obsłudze wywołań zwrotnych WeChat pod adresem POST /wechat/wechatCheck. Metoda WechatRestApi.index() przekazuje surowe ciało żądania do SignUtil.xmlToMap(), która używa nieutwardzonego dom4j SAXReader bez ograniczeń DTD ani encji zewnętrznych. Nieuwierzytelnieni zdalni atakujący mogą przesyłać deklaracje DOCTYPE z zewnętrznymi encjami parametrów, aby odczytać dowolne pliki lokalne lub wywołać wychodzące żądania HTTP, a rozwiązane encje są odzwierciedlane w odpowiedziach błędów.