CVE-2026-119644

ŚrednieCVSS 5.4

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Blossom do wersji 1.17.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom bez trybu tylko do odczytu modyfikować obrazy innych użytkowników poprzez podanie dowolnych identyfikatorów obrazów. Atakujący mogą wywołać endpointy usuwania obrazu, /picture/del/batch lub /picture/star, aby trwale usunąć obrazy i pliki ofiar lub zmienić ich status gwiazdki.

Ocena ryzyka

Uwierzytelniony użytkownik może trwale usuwać lub modyfikować zasoby innych użytkowników, powodując utratę danych i zakłócenie działania usługi.

Rekomendacja

Zaktualizuj Blossom do wersji nowszej niż 1.17.1 i do czasu aktualizacji ogranicz dostęp do endpointów /picture/del, /picture/del/batch i /picture/star oraz zweryfikuj kontrolę własności zasobów.

Inne podatności w Blossom

CVE-2026-119659Średnie
Blossom do wersji 1.17.1 zawiera obejście autoryzacji umożliwiające uwierzytelnionym użytkownikom dostęp do folderów innych użytkowników, ponieważ zapytania FolderService filtrują wyłącznie po identyfikatorze folderu. Atakujący może podać identyfikator folderu innego użytkownika w punktach /folder/info, /folder/upd, /folder/open lub /folder/del, aby odczytać ścieżki przechowywania, zmienić nazwę, przełączyć widoczność lub usunąć foldery.

Oryginalny opis (angielski, źródło NVD)

Blossom through 1.17.1 contains an authorization bypass vulnerability that allows authenticated non-readonly users to modify other users' pictures by supplying arbitrary picture ids. Attackers can call the picture delete, /picture/del/batch, or /picture/star endpoints to permanently delete victims' images and stored files or change their star status.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS