CVE-2026-119651
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FeedController.delFeed, umożliwiającą uwierzytelnionym użytkownikom usuwanie wpisów (momentów) innych użytkowników poprzez podanie dowolnych wartości feedId. Atakujący może wysyłać żądania POST do /feed/del z feedId innego użytkownika, aby usunąć jego wpisy wraz z powiązanymi multimediami, komentarzami i polubieniami.
Ocena ryzyka
Atakujący może usuwać wpisy innych użytkowników wraz z powiązanymi danymi, powodując utratę danych i naruszenie integralności. Wymagane jest jedynie konto uwierzytelnione.
Rekomendacja
Zaktualizuj HuLa-Server do wersji nowszej niż 3.0.7. Dodaj sprawdzenie właściciela wpisu przed wykonaniem operacji usunięcia.
Inne podatności w HuLa-Server
Zobacz wszystkie- CVE-2026-119652Średnie
HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FriendController.friendList, umożliwiającą uwierzytelnionym użytkownikom przeglądanie list znajomych innych użytkowników poprzez podanie parametru uid. Atakujący może wysyłać żądania GET do /user/friend/page z uid ofiary, omijając brak sprawdzenia uprawnień administratora lub właściciela, aby odczytać listę kontaktów dowolnego użytkownika.
- CVE-2026-119650Średnie
HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w PrivacyController, umożliwiającą uwierzytelnionym użytkownikom dostęp do ustawień prywatności innych użytkowników poprzez podanie ich uid. Atakujący może wysyłać żądania GET lub POST do /privacy z parametrem uid ofiary, aby odczytać i nadpisać ustawienia UserPrivacy tego użytkownika bez sprawdzenia właściciela.
Oryginalny opis (angielski, źródło NVD)
HuLa-Server through 3.0.7 contains an insecure direct object reference vulnerability in FeedController.delFeed that allows authenticated users to delete other users' moments by supplying arbitrary feedId values. Attackers can send POST requests to /feed/del with another user's feedId to delete their moments along with associated media, comments, and likes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS