CVE-2026-32250
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W NamelessMC 2.2.4 odkryto odbitą podatność XSS w parametrze id endpointu `/index.php?route=/queries/user/`. Aplikacja odzwierciedla dane wejściowe użytkownika bez odpowiedniej sanityzacji, co pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, przeprowadzić ataki phishingowe lub manipulować treścią strony, co zagraża poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować NamelessMC do wersji 2.2.5, która zawiera poprawkę eliminującą podatność.
Inne podatności w NamelessMC
Zobacz wszystkie- CVE-2026-40571Średnie
NamelessMC, oprogramowanie stron internetowych dla serwerów Minecraft, w wersji 2.2.4 nie sprawdza, czy profil jest prywatny lub czy użytkownik został zablokowany podczas dodawania reakcji do postów na ścianie. Plik `core/classes/Misc/ProfilePostReactionContext.php` tylko weryfikuje istnienie posta, nie egzekwując widoczności. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą dodawać reakcje do prywatnych postów lub postów użytkowników, którzy ich zablokowali. Wersja 2.2.5 zawiera poprawkę.
- CVE-2026-40314Średnie
W NamelessMC w wersji 2.2.4, funkcja ProfilePostReactionContext.php nie sprawdza widoczności prywatnych profili ani blokad, a moduł reactions.php pozwala na nieuwierzytelnione żądania GET. Umożliwia to nieuwierzytelnionym gościom odczyt reakcji i znaczników czasu dla prywatnych postów, a uwierzytelnionym użytkownikom o niskich uprawnieniach dodawanie reakcji do prywatnych lub blokujących postów. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35447Średnie
NamelessMC w wersji 2.2.4 przetwarza wpisy na tablicy profilu przed sprawdzeniem uprawnień dostępu do profilu. Użytkownik z uprawnieniem profile.post może pisać na prywatnych profilach, a także wstawiać odpowiedzi do dowolnych wpisów innych profili. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35443Średnie
NamelessMC 2.2.4 nie sprawdza uprawnień na poziomie tematu (view_other_topics) podczas odczytu i modyfikacji reakcji na postach. Użytkownik mający dostęp do forum, ale mogący widzieć tylko własne tematy, może odczytywać i zmieniać reakcje na tematach innych użytkowników. Problem został naprawiony w wersji 2.2.5.
- CVE-2026-34460Średnie
NamelessMC, oprogramowanie dla serwerów Minecraft, w wersjach 2.2.4 i wcześniejszych, nie weryfikuje parametru state po stronie serwera podczas wywołania zwrotnego OAuth. Umożliwia to atakującemu przechwycenie prawidłowego adresu URL OAuth i podmianę sesji ofiary na konto powiązane z atakującym (CSRF logowania OAuth / podmiana sesji).
- CVE-2026-33398Wysokie
NamelessMC w wersji 2.2.4 ma podatność w pliku modules/Forum/pages/forum/get_quotes.php, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt treści z ukrytych, prywatnych lub tylko dla personelu forów poprzez enumerację ID postów. Backend nie egzekwuje ACL forów ani tematów.
Oryginalny opis (angielski, źródło NVD)
NamelessMC is website software for Minecraft servers. A Reflected Cross-Site Scripting (XSS) vulnerability was discovered in version 2.2.4 in the id parameter of the endpoint `/index.php?route=/queries/user/`. The application reflects user-supplied input from the id parameter into the HTML response without proper sanitization or output encoding. An attacker can craft a malicious URL containing JavaScript code. When a victim visits the crafted URL, the injected script executes in the victim's browser within the context of the vulnerable application. This could allow attackers to execute arbitrary JavaScript, potentially leading to session hijacking, phishing attacks, or manipulation of page content. Version 2.2.5 fixes the issue.