CVE-2026-114395

W Trudesk do wersji 1.2.11 w funkcji accountsController.uploadImage występuje path traversal i obejście autoryzacji, umożliwiające uwierzytelnionym użytkownikom nadpisywanie awatarów innych użytkowników poprzez pola _id i username. Atakujący mogą podać nazwę użytkownika taką jak /../../../x, aby obejść niekompletną sanityzację z CVE-2022-1752 i zapisać pliki png, jpg, jpeg lub gif poza public/uploads/users.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia wyrażeń regularnych, która pozwala nieuwierzytelnionym atakującym na enumerację nazw użytkowników poprzez wysyłanie wzorców regex do POST /api/v1/login. Atakujący może rozróżnić odpowiedzi 'Invalid User' i 'Invalid Password', aby odkryć prawidłowe konta.

Trudesk do wersji 1.2.11 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym pobierać prywatne załączniki zgłoszeń z katalogu /uploads. Ponieważ express.static udostępnia katalog public/ przed chronionym przez hasAuth punktem montowania /uploads, atakujący znający lub zgadujący ObjectId zgłoszenia i nazwę pliku może pobrać poufne załączniki.

Trudesk do wersji 1.2.11 zawiera podatność path traversal, która pozwala administratorom usuwać dowolne pliki poprzez podanie zakodowanych sekwencji przejścia katalogów do DELETE /api/v1/backup/:backup. Atakujący mogą również przekazać niezwalidowane wartości plików do POST /api/v1/backup/restore, aby przywracać archiwa z lub rozpakowywać je do ścieżek poza zamierzonymi katalogami.

Trudesk do wersji 1.2.11 zawiera podatność nieograniczonego przesyłania plików, która pozwala każdemu uwierzytelnionemu użytkownikowi umieszczać pliki HTML lub SVG w publicznym katalogu webroot poprzez endpointy uploadlogo, uploadpagelogo i uploadfavicon. Atakujący mogą podszyć się pod typ MIME obrazu, aby przesłać pliki zawierające skrypty, serwowane bez uwierzytelnienia z /assets/.

Trudesk w wersji do 1.2.11 zawiera podatność polegającą na braku uwierzytelniania w trasach debugowania, które są aktywne, gdy zmienna NODE_ENV nie jest ustawiona. Nieuwierzytelniony atakujący może zdalnie wywołać te trasy, w tym /debug/populatedb, co pozwala usunąć wszystkie grupy, tagi i zgłoszenia, a następnie zalogować się na wbudowane konta przy użyciu hasła 'password'.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia kodu JavaScript po stronie serwera, która pozwala uwierzytelnionym użytkownikom na wstrzyknięcie kodu do klauzuli $where MongoDB poprzez parametr wyszukiwania. Atakujący mogą zamknąć wyrażenie regularne w GET /api/v1/tickets/search, aby zapętlić mongod w celu odmowy usługi lub wycieku pełnych dokumentów zgłoszeń, w tym notatek wewnętrznych.

Trudesk w wersjach do 1.2.11 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom publikować treści przypisane innym użytkownikom poprzez dostarczanie kontrolowanych przez użytkownika identyfikatorów właściciela. Atakujący mogą ustawić ownerId lub owner w żądaniach postComment, postInternalNote i tworzenia zgłoszenia, aby sfałszować komentarze, notatki wewnętrzne i zgłoszenia autorstwa administratora w dowolnym zgłoszeniu.

Trudesk do wersji 1.2.11 zawiera lukę w kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować zgłoszenia poza jego grupami poprzez PUT /api/v1/tickets/:id oraz PUT /api/v2/tickets/batch. Atakujący może podać dowolne ObjectIds zgłoszeń, aby zmienić status, temat, grupę, priorytet lub przypisanego użytkownika, albo masowo zamykać zgłoszenia, ponieważ sprawdzane jest tylko domyślne uprawnienie roli tickets:update.

Trudesk do wersji 1.2.11 zawiera lukę w kontroli dostępu, która pozwala uwierzytelnionym użytkownikom czytać zgłoszenia poza ich grupami poprzez GET /api/v1/tickets/:uid. Atakujący może enumerować kolejne uid zgłoszeń, aby odczytać temat, treść, komentarze, właściciela i przypisanego użytkownika każdego zgłoszenia, ponieważ handler apiTickets.single pomija sprawdzanie przynależności do grupy.