CVE-2026-111723

WysokieCVSS 8.8

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

LingGuo-Drama do commita 8a6924a zawiera podatność braku autoryzacji, która pozwala każdemu zarejestrowanemu użytkownikowi zarządzać wszystkimi kontami przez API /admin/v1/admins chronione jedynie przez AuthAdminJWT. Atakujący może się samodzielnie zarejestrować, odczytać hashe bcrypt wszystkich kont, zresetować hasło administratora, podnieść swoje authority_id i usuwać konta.

Ocena ryzyka

Każdy zarejestrowany użytkownik może przejąć pełną kontrolę nad wszystkimi kontami w systemie, w tym nad kontem administratora, co prowadzi do całkowitego przejęcia aplikacji.

Rekomendacja

Wprowadź poprawne sprawdzanie uprawnień administracyjnych w API /admin/v1/admins oraz jak najszybciej zaktualizuj LingGuo-Drama do wersji zawierającej poprawkę.

Inne podatności w LingGuo-Drama

CVE-2026-111722Wysokie
LingGuo-Drama do commita 8a6924a zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala zarejestrowanym użytkownikom na dostęp do projektów innych użytkowników, ponieważ projects.Get nie sprawdza właściciela. Atakujący może iterować identyfikatory numeryczne przez GET, PUT i DELETE /admin/v1/projects/:id, aby odczytywać, nadpisywać, przypisywać lub usuwać projekty innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

LingGuo-Drama through commit 8a6924a contains a missing authorization vulnerability that allows any registered user to manage all accounts through the /admin/v1/admins API protected only by AuthAdminJWT. Attackers can self-register, read every account's bcrypt hash, reset the bootstrap administrator's password via PUT, raise their authority_id, and delete accounts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS