CVE-2026-38470
Niskie ryzyko· EPSS 10%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność dotycząca złamanej kontroli dostępu w punkcie końcowym API użytkownika w GazellePW (GazellePosterWall), umożliwiająca nieuprzywilejowanym, uwierzytelnionym użytkownikom włączanie lub wyłączanie dowolnych kont użytkowników poprzez akcję req=disable lub req=enable przy użyciu normalnego tokena API utworzonego przez użytkownika.
Ocena ryzyka
Uwierzytelniony użytkownik bez odpowiednich uprawnień może dezaktywować lub aktywować konta innych użytkowników, co może prowadzić do zakłócenia działania lub nieautoryzowanego dostępu.
Rekomendacja
Zaleca się wdrożenie odpowiednich kontroli autoryzacji dla punktu końcowego API i ograniczenie uprawnień tokenów API.
Inne podatności w GazellePW
Zobacz wszystkie- CVE-2026-38474Niskie ryzyko· EPSS 21%
Podatność dotycząca złamanej kontroli dostępu w menedżerze blokad IP w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom dodawanie, modyfikowanie lub usuwanie wpisów blokad IP dla dowolnych kont poprzez tools.php?action=iplock.
- CVE-2026-38473Niskie ryzyko· EPSS 21%
Podatność typu Stored XSS w procesie usuwania napisów w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu JavaScript poprzez spreparowaną nazwę pliku napisów, która jest przechowywana podczas przesyłania i później renderowana w /subtitles.php?action=delete.
- CVE-2026-38472Niskie ryzyko· EPSS 21%
Podatność typu Stored XSS w komentarzach nagród na forum w GazellePW (GazellePosterWall), umożliwiająca zdalnym atakującym wstrzyknięcie dowolnego kodu JavaScript poprzez parametr c w /forums.php?action=ajax_get_jf, który jest później renderowany w atrybucie data-tooltip w /forums.php?action=viewthread i interpretowany jako HTML przez konfigurację Tooltipster.
- CVE-2026-38469Niskie ryzyko· EPSS 21%
Podatność typu Stored XSS w funkcji niestandardowego tytułu bonusowego w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu JavaScript poprzez parametr title w /bonus.php i /user.php?action=staff_tool.
- CVE-2026-38468Niskie ryzyko· EPSS 21%
Podatność typu SQL injection w punkcie końcowym wyszukiwania kodu kraju w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom z uprawnieniami users_view_ips wykonanie dowolnych poleceń SQL poprzez parametr ip w spreparowanym żądaniu do tools.php?action=get_cc.
- CVE-2026-38467Niskie ryzyko· EPSS 20%
Podatność typu SQL injection w menedżerze tagów w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom z uprawnieniami users_mod wykonanie dowolnych poleceń SQL poprzez parametr tagid lub type w spreparowanym żądaniu POST do tools.php?action=manage_tags.
- CVE-2026-38466Niskie ryzyko· EPSS 22%
Podatność Stored XSS w funkcji niestandardowego tytułu remastera w GazellePW (GazellePosterWall) pozwala zdalnym uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego kodu JavaScript przez parametr remaster_custom_title, który jest przechowywany podczas przesyłania lub edycji torrenta i później renderowany w tytule torrenta.
- CVE-2026-38465Niskie ryzyko· EPSS 21%
Podatność Stored XSS w funkcji tekstu po najechaniu na awatar darczyńcy w GazellePW (GazellePosterWall) pozwala zdalnym uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego kodu JavaScript przez parametr avatar_mouse_over_text, który jest przechowywany i później renderowany w dymku awatara.
Oryginalny opis (angielski, źródło NVD)
A Broken access control vulnerability in the API user endpoint in GazellePW (GazellePosterWall) commit 86c4bedf727691b5a97af42a4864869d18446449 allows unprivileged, authenticated users to enable or disable arbitrary user accounts via the req=disable or req=enable action using a normal user-created API token.