CVE-2026-114397

W Trudesk do wersji 1.2.11 w funkcji accountsController.uploadImage występuje path traversal i obejście autoryzacji, umożliwiające uwierzytelnionym użytkownikom nadpisywanie awatarów innych użytkowników poprzez pola _id i username. Atakujący mogą podać nazwę użytkownika taką jak /../../../x, aby obejść niekompletną sanityzację z CVE-2022-1752 i zapisać pliki png, jpg, jpeg lub gif poza public/uploads/users.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia wyrażeń regularnych, która pozwala nieuwierzytelnionym atakującym na enumerację nazw użytkowników poprzez wysyłanie wzorców regex do POST /api/v1/login. Atakujący może rozróżnić odpowiedzi 'Invalid User' i 'Invalid Password', aby odkryć prawidłowe konta.

Trudesk do wersji 1.2.11 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym pobierać prywatne załączniki zgłoszeń z katalogu /uploads. Ponieważ express.static udostępnia katalog public/ przed chronionym przez hasAuth punktem montowania /uploads, atakujący znający lub zgadujący ObjectId zgłoszenia i nazwę pliku może pobrać poufne załączniki.

Trudesk do wersji 1.2.11 zawiera podatność path traversal, która pozwala administratorom usuwać dowolne pliki poprzez podanie zakodowanych sekwencji przejścia katalogów do DELETE /api/v1/backup/:backup. Atakujący mogą również przekazać niezwalidowane wartości plików do POST /api/v1/backup/restore, aby przywracać archiwa z lub rozpakowywać je do ścieżek poza zamierzonymi katalogami.

Trudesk do wersji 1.2.11 zawiera podatność nieograniczonego przesyłania plików, która pozwala każdemu uwierzytelnionemu użytkownikowi umieszczać pliki HTML lub SVG w publicznym katalogu webroot poprzez endpointy uploadlogo, uploadpagelogo i uploadfavicon. Atakujący mogą podszyć się pod typ MIME obrazu, aby przesłać pliki zawierające skrypty, serwowane bez uwierzytelnienia z /assets/.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia kodu JavaScript po stronie serwera, która pozwala uwierzytelnionym użytkownikom na wstrzyknięcie kodu do klauzuli $where MongoDB poprzez parametr wyszukiwania. Atakujący mogą zamknąć wyrażenie regularne w GET /api/v1/tickets/search, aby zapętlić mongod w celu odmowy usługi lub wycieku pełnych dokumentów zgłoszeń, w tym notatek wewnętrznych.

W Trudesk do wersji 1.2.11 w apiMessages.send występuje obejście autoryzacji, umożliwiające uwierzytelnionym użytkownikom publikowanie wiadomości jako inni użytkownicy z powodu niekompletnej poprawki CVE-2022-1931. Atakujący mogą podać dowolne wartości owner i cId w żądaniu POST /api/v1/messages/send, aby wstrzyknąć sfałszowane wiadomości do konwersacji, do których nie należą.

Trudesk w wersjach do 1.2.11 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom publikować treści przypisane innym użytkownikom poprzez dostarczanie kontrolowanych przez użytkownika identyfikatorów właściciela. Atakujący mogą ustawić ownerId lub owner w żądaniach postComment, postInternalNote i tworzenia zgłoszenia, aby sfałszować komentarze, notatki wewnętrzne i zgłoszenia autorstwa administratora w dowolnym zgłoszeniu.

Trudesk do wersji 1.2.11 zawiera lukę w kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować zgłoszenia poza jego grupami poprzez PUT /api/v1/tickets/:id oraz PUT /api/v2/tickets/batch. Atakujący może podać dowolne ObjectIds zgłoszeń, aby zmienić status, temat, grupę, priorytet lub przypisanego użytkownika, albo masowo zamykać zgłoszenia, ponieważ sprawdzane jest tylko domyślne uprawnienie roli tickets:update.

Trudesk do wersji 1.2.11 zawiera lukę w kontroli dostępu, która pozwala uwierzytelnionym użytkownikom czytać zgłoszenia poza ich grupami poprzez GET /api/v1/tickets/:uid. Atakujący może enumerować kolejne uid zgłoszeń, aby odczytać temat, treść, komentarze, właściciela i przypisanego użytkownika każdego zgłoszenia, ponieważ handler apiTickets.single pomija sprawdzanie przynależności do grupy.