CVE-2026-32662

Casdoor do wersji 4.4.0 nie maskuje prawidłowo wbudowanego, instancyjnego klucza prywatnego certyfikatu w endpointach /api/get-certs i /api/get-cert, umożliwiając jego pobranie administratorom organizacji. Ujawniony klucz pozwala sfałszować tokeny JWT dla dowolnego użytkownika w dowolnej organizacji, w tym globalnych administratorów.

Podatność w Casdoor do wersji 4.0.0 dotyczy nieznanej funkcji w pliku controllers/resource.go komponentu upload-resource API. Manipulacja prowadzi do braku uwierzytelnienia, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a vendor usunął zgłoszenie GitHub bez wyjaśnienia i nie odpowiedział na kontakt mailowy.

Casdoor 2.356.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie Webhook URL Handler. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.

W systemie Casdoor w wersji 2.356.0 funkcja dangerouslySetInnerHTML jest podatna na atak XSS poprzez manipulację argumentami formCss, formCssMobile lub formSideHtml. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

W Casdoor 2.356.0 stwierdzono podatność w komponencie OAuth Authorization Request Handler. Manipulacja argumentem redirect_uri prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Casdoor w wersji 2.26.0 i wcześniejszych, w module weryfikacji uprawnień oraz interfejsie edycji organizacji/aplikacji, stwierdzono podatność umożliwiającą zdalnie uwierzytelnionym administratorom dowolnej organizacji ominięcie mechanizmu weryfikacji uprawnień poprzez bezpośrednie łączenie adresów URL po zalogowaniu. Problem został naprawiony w wersji 2.63.0.

W wersji 1.331.0 i wcześniejszych Casdoor zidentyfikowano podatność typu Cross-Site Request Forgery (CSRF) w punkcie końcowym /api/set-password. Umożliwia ona atakującym dowolną zmianę hasła ofiary poprzez dostarczenie spreparowanego adresu URL.