CVE-2026-111621
ŚrednieCVSS 4.3Streszczenie
TDuck Survey Form do wersji 5.3 zawiera podatność typu brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt surowych ustawień formularzy innych właścicieli poprzez GET /user/form/setting/{key}. Atakujący może podać 8-znakowy klucz formularza z publicznego linku do wypełnienia, aby uzyskać hasło zapisu formularza, e-mail powiadomień właściciela oraz identyfikatory openIds WeChat.
Ocena ryzyka
Wyciek wrażliwych ustawień formularzy — hasła zapisu, adresów e-mail i identyfikatorów WeChat. Może prowadzić do nieautoryzowanej modyfikacji formularzy i naruszenia prywatności właścicieli.
Rekomendacja
Zaktualizować TDuck Survey Form do wersji nowszej niż 5.3, gdy będzie dostępna, oraz wdrożyć kontrolę autoryzacji w endpoincie GET /user/form/setting/{key}. Do czasu poprawki rozważyć ograniczenie dostępu do tego endpointu.
Inne podatności w TDuck Survey Form
Zobacz wszystkie- CVE-2026-109167Średnie
TDuck survey form do wersji 6.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w obsłudze saveFormTheme, która pozwala uwierzytelnionym użytkownikom na nadpisywanie motywów formularzy innych użytkowników. Atakujący, których formularz nie ma motywu, mogą przesłać sekwencyjny identyfikator motywu innego formularza wraz z własnym formKey, zastępując jego kolory i adresy URL obrazów oraz usuwając motyw ofiary.
- CVE-2026-109165Średnie
TDuck survey form do wersji 6.0 zawiera podatność uszkodzonej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na dodawanie pól do formularzy innych użytkowników poprzez POST /user/form/item/batch/create. Atakujący mogą przesłać tablicę, której pierwszy element odnosi się do ich własnego formularza, a kolejne elementy odnoszą się do formKey ofiary, wstrzykując wybrane przez atakującego pola na publiczną stronę wypełniania ofiary.
- CVE-2026-100306Średnie
TDuck survey form do wersji 6.0 nie weryfikuje haseł zapisu na punktach końcowych przesyłania, egzekwując sprawdzenie tylko na froncie. Zdalni nieuwierzytelnieni atakujący mogą przesyłać wpisy formularza bezpośrednio do publicznych API przesyłania bez podawania hasła, używając klucza formularza z linków udostępniania.
- CVE-2026-92567Średnie
Podatność obejścia autoryzacji w formularzu ankiety TDuck do wersji 5.0 w punkcie końcowym POST /user/form/data/update pozwala uwierzytelnionym użytkownikom na nadpisywanie danych przesłanych przez innych użytkowników. Atakujący mogą odkryć identyfikatory zgłoszeń przydzielane w wąskich zakresach i modyfikować dowolne odpowiedzi zawierające dane osobowe bez weryfikacji własności.
Oryginalny opis (angielski, źródło NVD)
TDuck Survey Form through 5.3 contains a missing authorization vulnerability that allows any authenticated user to read other owners' raw form settings via GET /user/form/setting/{key}. Attackers can supply the 8-character form key from a public fill link to obtain the form write password, owner notification e-mail, and WeChat openIds.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS