CVE-2026-34460
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
NamelessMC, oprogramowanie dla serwerów Minecraft, w wersjach 2.2.4 i wcześniejszych, nie weryfikuje parametru state po stronie serwera podczas wywołania zwrotnego OAuth. Umożliwia to atakującemu przechwycenie prawidłowego adresu URL OAuth i podmianę sesji ofiary na konto powiązane z atakującym (CSRF logowania OAuth / podmiana sesji).
Ocena ryzyka
Atakujący może przejąć sesję uwierzytelnionego użytkownika, uzyskując nieautoryzowany dostęp do jego konta i danych na serwerze Minecraft.
Rekomendacja
Zaktualizuj NamelessMC do wersji 2.2.5, która zawiera poprawkę walidacji parametru state.
Inne podatności w NamelessMC
Zobacz wszystkie- CVE-2026-40571Średnie
NamelessMC, oprogramowanie stron internetowych dla serwerów Minecraft, w wersji 2.2.4 nie sprawdza, czy profil jest prywatny lub czy użytkownik został zablokowany podczas dodawania reakcji do postów na ścianie. Plik `core/classes/Misc/ProfilePostReactionContext.php` tylko weryfikuje istnienie posta, nie egzekwując widoczności. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą dodawać reakcje do prywatnych postów lub postów użytkowników, którzy ich zablokowali. Wersja 2.2.5 zawiera poprawkę.
- CVE-2026-40314Średnie
W NamelessMC w wersji 2.2.4, funkcja ProfilePostReactionContext.php nie sprawdza widoczności prywatnych profili ani blokad, a moduł reactions.php pozwala na nieuwierzytelnione żądania GET. Umożliwia to nieuwierzytelnionym gościom odczyt reakcji i znaczników czasu dla prywatnych postów, a uwierzytelnionym użytkownikom o niskich uprawnieniach dodawanie reakcji do prywatnych lub blokujących postów. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35447Średnie
NamelessMC w wersji 2.2.4 przetwarza wpisy na tablicy profilu przed sprawdzeniem uprawnień dostępu do profilu. Użytkownik z uprawnieniem profile.post może pisać na prywatnych profilach, a także wstawiać odpowiedzi do dowolnych wpisów innych profili. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35443Średnie
NamelessMC 2.2.4 nie sprawdza uprawnień na poziomie tematu (view_other_topics) podczas odczytu i modyfikacji reakcji na postach. Użytkownik mający dostęp do forum, ale mogący widzieć tylko własne tematy, może odczytywać i zmieniać reakcje na tematach innych użytkowników. Problem został naprawiony w wersji 2.2.5.
- CVE-2026-33398Wysokie
NamelessMC w wersji 2.2.4 ma podatność w pliku modules/Forum/pages/forum/get_quotes.php, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt treści z ukrytych, prywatnych lub tylko dla personelu forów poprzez enumerację ID postów. Backend nie egzekwuje ACL forów ani tematów.
- CVE-2026-32250Średnie
W NamelessMC 2.2.4 odkryto odbitą podatność XSS w parametrze id endpointu `/index.php?route=/queries/user/`. Aplikacja odzwierciedla dane wejściowe użytkownika bez odpowiedniej sanityzacji, co pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
NamelessMC is website software for Minecraft servers. In versions 2.2.4 and prior, the OAuth callback handling does not validate the state parameter server-side before exchanging the authorization code. This allows an attacker to capture a valid OAuth callback URL for their own account and cause a victim's browser to navigate to it, resulting in the victim's session being authenticated as the attacker-linked account (OAuth login CSRF / session swapping). This is patched in version 2.2.5.