CVE-2026-33398
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
NamelessMC w wersji 2.2.4 ma podatność w pliku modules/Forum/pages/forum/get_quotes.php, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt treści z ukrytych, prywatnych lub tylko dla personelu forów poprzez enumerację ID postów. Backend nie egzekwuje ACL forów ani tematów.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą uzyskać dostęp do poufnych treści forum, które powinny być niedostępne.
Rekomendacja
Zaktualizuj NamelessMC do wersji 2.2.5, która zawiera poprawkę.
Inne podatności w NamelessMC
Zobacz wszystkie- CVE-2026-40571Średnie
NamelessMC, oprogramowanie stron internetowych dla serwerów Minecraft, w wersji 2.2.4 nie sprawdza, czy profil jest prywatny lub czy użytkownik został zablokowany podczas dodawania reakcji do postów na ścianie. Plik `core/classes/Misc/ProfilePostReactionContext.php` tylko weryfikuje istnienie posta, nie egzekwując widoczności. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą dodawać reakcje do prywatnych postów lub postów użytkowników, którzy ich zablokowali. Wersja 2.2.5 zawiera poprawkę.
- CVE-2026-40314Średnie
W NamelessMC w wersji 2.2.4, funkcja ProfilePostReactionContext.php nie sprawdza widoczności prywatnych profili ani blokad, a moduł reactions.php pozwala na nieuwierzytelnione żądania GET. Umożliwia to nieuwierzytelnionym gościom odczyt reakcji i znaczników czasu dla prywatnych postów, a uwierzytelnionym użytkownikom o niskich uprawnieniach dodawanie reakcji do prywatnych lub blokujących postów. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35447Średnie
NamelessMC w wersji 2.2.4 przetwarza wpisy na tablicy profilu przed sprawdzeniem uprawnień dostępu do profilu. Użytkownik z uprawnieniem profile.post może pisać na prywatnych profilach, a także wstawiać odpowiedzi do dowolnych wpisów innych profili. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35443Średnie
NamelessMC 2.2.4 nie sprawdza uprawnień na poziomie tematu (view_other_topics) podczas odczytu i modyfikacji reakcji na postach. Użytkownik mający dostęp do forum, ale mogący widzieć tylko własne tematy, może odczytywać i zmieniać reakcje na tematach innych użytkowników. Problem został naprawiony w wersji 2.2.5.
- CVE-2026-34460Średnie
NamelessMC, oprogramowanie dla serwerów Minecraft, w wersjach 2.2.4 i wcześniejszych, nie weryfikuje parametru state po stronie serwera podczas wywołania zwrotnego OAuth. Umożliwia to atakującemu przechwycenie prawidłowego adresu URL OAuth i podmianę sesji ofiary na konto powiązane z atakującym (CSRF logowania OAuth / podmiana sesji).
- CVE-2026-32250Średnie
W NamelessMC 2.2.4 odkryto odbitą podatność XSS w parametrze id endpointu `/index.php?route=/queries/user/`. Aplikacja odzwierciedla dane wejściowe użytkownika bez odpowiedniej sanityzacji, co pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
NamelessMC is website software for Minecraft servers. In version 2.2.4, `modules/Forum/pages/forum/get_quotes.php` only checks whether the caller is logged in, then reads a post by attacker-controlled `post` ID and returns its content. The backend helper in `modules/Forum/classes/Forum.php` does not enforce forum or topic ACLs. In contrast, the normal topic page in `modules/Forum/pages/forum/view_topic.php` enforces forum visibility and `view_other_topics`. Any low-privileged authenticated user can enumerate post IDs and read content from hidden, private, or staff-only forums. Version 2.2.5 fixes the issue.