CVE-2026-111722

WysokieCVSS 8.1

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

LingGuo-Drama do commita 8a6924a zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala zarejestrowanym użytkownikom na dostęp do projektów innych użytkowników, ponieważ projects.Get nie sprawdza właściciela. Atakujący może iterować identyfikatory numeryczne przez GET, PUT i DELETE /admin/v1/projects/:id, aby odczytywać, nadpisywać, przypisywać lub usuwać projekty innych użytkowników.

Ocena ryzyka

Zarejestrowany atakujący może odczytywać i modyfikować lub usuwać projekty należące do innych użytkowników, naruszając poufność i integralność danych.

Rekomendacja

Dodaj sprawdzanie właściciela w projects.Get oraz zaktualizuj LingGuo-Drama do wersji zawierającej poprawkę.

Inne podatności w LingGuo-Drama

CVE-2026-111723Wysokie
LingGuo-Drama do commita 8a6924a zawiera podatność braku autoryzacji, która pozwala każdemu zarejestrowanemu użytkownikowi zarządzać wszystkimi kontami przez API /admin/v1/admins chronione jedynie przez AuthAdminJWT. Atakujący może się samodzielnie zarejestrować, odczytać hashe bcrypt wszystkich kont, zresetować hasło administratora, podnieść swoje authority_id i usuwać konta.

Oryginalny opis (angielski, źródło NVD)

LingGuo-Drama through commit 8a6924a contains an insecure direct object reference vulnerability that allows registered users to access other users' projects because projects.Get lacks an owner check. Self-registered attackers can iterate numeric IDs via GET, PUT and DELETE /admin/v1/projects/:id to read, overwrite, reassign or delete any user's short-drama projects.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS