CVE-2026-35447
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
NamelessMC w wersji 2.2.4 przetwarza wpisy na tablicy profilu przed sprawdzeniem uprawnień dostępu do profilu. Użytkownik z uprawnieniem profile.post może pisać na prywatnych profilach, a także wstawiać odpowiedzi do dowolnych wpisów innych profili. Problem naprawiono w wersji 2.2.5.
Ocena ryzyka
Atakujący może naruszyć prywatność użytkowników, umieszczając treści na profilach, do których nie powinien mieć dostępu.
Rekomendacja
Zaktualizuj NamelessMC do wersji 2.2.5.
Inne podatności w NamelessMC
Zobacz wszystkie- CVE-2026-40571Średnie
NamelessMC, oprogramowanie stron internetowych dla serwerów Minecraft, w wersji 2.2.4 nie sprawdza, czy profil jest prywatny lub czy użytkownik został zablokowany podczas dodawania reakcji do postów na ścianie. Plik `core/classes/Misc/ProfilePostReactionContext.php` tylko weryfikuje istnienie posta, nie egzekwując widoczności. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą dodawać reakcje do prywatnych postów lub postów użytkowników, którzy ich zablokowali. Wersja 2.2.5 zawiera poprawkę.
- CVE-2026-40314Średnie
W NamelessMC w wersji 2.2.4, funkcja ProfilePostReactionContext.php nie sprawdza widoczności prywatnych profili ani blokad, a moduł reactions.php pozwala na nieuwierzytelnione żądania GET. Umożliwia to nieuwierzytelnionym gościom odczyt reakcji i znaczników czasu dla prywatnych postów, a uwierzytelnionym użytkownikom o niskich uprawnieniach dodawanie reakcji do prywatnych lub blokujących postów. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35443Średnie
NamelessMC 2.2.4 nie sprawdza uprawnień na poziomie tematu (view_other_topics) podczas odczytu i modyfikacji reakcji na postach. Użytkownik mający dostęp do forum, ale mogący widzieć tylko własne tematy, może odczytywać i zmieniać reakcje na tematach innych użytkowników. Problem został naprawiony w wersji 2.2.5.
- CVE-2026-34460Średnie
NamelessMC, oprogramowanie dla serwerów Minecraft, w wersjach 2.2.4 i wcześniejszych, nie weryfikuje parametru state po stronie serwera podczas wywołania zwrotnego OAuth. Umożliwia to atakującemu przechwycenie prawidłowego adresu URL OAuth i podmianę sesji ofiary na konto powiązane z atakującym (CSRF logowania OAuth / podmiana sesji).
- CVE-2026-33398Wysokie
NamelessMC w wersji 2.2.4 ma podatność w pliku modules/Forum/pages/forum/get_quotes.php, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt treści z ukrytych, prywatnych lub tylko dla personelu forów poprzez enumerację ID postów. Backend nie egzekwuje ACL forów ani tematów.
- CVE-2026-32250Średnie
W NamelessMC 2.2.4 odkryto odbitą podatność XSS w parametrze id endpointu `/index.php?route=/queries/user/`. Aplikacja odzwierciedla dane wejściowe użytkownika bez odpowiedniej sanityzacji, co pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
NamelessMC is website software for Minecraft servers. In version 2.2.4, the profile page (modules/Core/pages/profile.php) processes wall post submissions and replies before verifying whether the viewer is authorized to access the profile. This allows any user with the profile.post permission to write wall posts to private or blocking profiles. Additionally, the reply branch does not verify that the target wall post belongs to the current profile, enabling attackers to inject replies into arbitrary wall posts owned by other profiles via a restricted profile URL. This is patched in version 2.2.5.