CVE-2026-119652
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FriendController.friendList, umożliwiającą uwierzytelnionym użytkownikom przeglądanie list znajomych innych użytkowników poprzez podanie parametru uid. Atakujący może wysyłać żądania GET do /user/friend/page z uid ofiary, omijając brak sprawdzenia uprawnień administratora lub właściciela, aby odczytać listę kontaktów dowolnego użytkownika.
Ocena ryzyka
Atakujący może odczytać listy kontaktów innych użytkowników, co narusza prywatność i może ułatwić ataki socjotechniczne. Wymagane jest jedynie konto uwierzytelnione.
Rekomendacja
Zaktualizuj HuLa-Server do wersji nowszej niż 3.0.7. Dodaj sprawdzenie, czy żądający jest właścicielem konta lub administratorem przed zwróceniem listy znajomych.
Inne podatności w HuLa-Server
Zobacz wszystkie- CVE-2026-119651Średnie
HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w FeedController.delFeed, umożliwiającą uwierzytelnionym użytkownikom usuwanie wpisów (momentów) innych użytkowników poprzez podanie dowolnych wartości feedId. Atakujący może wysyłać żądania POST do /feed/del z feedId innego użytkownika, aby usunąć jego wpisy wraz z powiązanymi multimediami, komentarzami i polubieniami.
- CVE-2026-119650Średnie
HuLa-Server do wersji 3.0.7 zawiera podatność typu insecure direct object reference w PrivacyController, umożliwiającą uwierzytelnionym użytkownikom dostęp do ustawień prywatności innych użytkowników poprzez podanie ich uid. Atakujący może wysyłać żądania GET lub POST do /privacy z parametrem uid ofiary, aby odczytać i nadpisać ustawienia UserPrivacy tego użytkownika bez sprawdzenia właściciela.
Oryginalny opis (angielski, źródło NVD)
HuLa-Server through 3.0.7 contains an insecure direct object reference vulnerability in FriendController.friendList that allows authenticated users to view other users' friend lists by supplying a uid parameter. Attackers can send GET requests to /user/friend/page with a victim's uid, bypassing the missing administrator or owner check to read any user's contact list.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS