CVE-2026-38474
Niskie ryzyko· EPSS 21%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność dotycząca złamanej kontroli dostępu w menedżerze blokad IP w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom dodawanie, modyfikowanie lub usuwanie wpisów blokad IP dla dowolnych kont poprzez tools.php?action=iplock.
Ocena ryzyka
Uwierzytelniony użytkownik może manipulować blokadami IP innych kont, co może prowadzić do nieautoryzowanego dostępu lub zakłócenia działania.
Rekomendacja
Zaleca się ograniczenie dostępu do funkcji iłów i wdrożenie odpowiednich kontroli autoryzacji.
Inne podatności w GazellePW
Zobacz wszystkie- CVE-2026-38473Niskie ryzyko· EPSS 21%
Podatność typu Stored XSS w procesie usuwania napisów w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu JavaScript poprzez spreparowaną nazwę pliku napisów, która jest przechowywana podczas przesyłania i później renderowana w /subtitles.php?action=delete.
- CVE-2026-38472Niskie ryzyko· EPSS 21%
Podatność typu Stored XSS w komentarzach nagród na forum w GazellePW (GazellePosterWall), umożliwiająca zdalnym atakującym wstrzyknięcie dowolnego kodu JavaScript poprzez parametr c w /forums.php?action=ajax_get_jf, który jest później renderowany w atrybucie data-tooltip w /forums.php?action=viewthread i interpretowany jako HTML przez konfigurację Tooltipster.
- CVE-2026-38470Niskie ryzyko· EPSS 10%
Podatność dotycząca złamanej kontroli dostępu w punkcie końcowym API użytkownika w GazellePW (GazellePosterWall), umożliwiająca nieuprzywilejowanym, uwierzytelnionym użytkownikom włączanie lub wyłączanie dowolnych kont użytkowników poprzez akcję req=disable lub req=enable przy użyciu normalnego tokena API utworzonego przez użytkownika.
- CVE-2026-38469Niskie ryzyko· EPSS 21%
Podatność typu Stored XSS w funkcji niestandardowego tytułu bonusowego w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu JavaScript poprzez parametr title w /bonus.php i /user.php?action=staff_tool.
- CVE-2026-38468Niskie ryzyko· EPSS 21%
Podatność typu SQL injection w punkcie końcowym wyszukiwania kodu kraju w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom z uprawnieniami users_view_ips wykonanie dowolnych poleceń SQL poprzez parametr ip w spreparowanym żądaniu do tools.php?action=get_cc.
- CVE-2026-38467Niskie ryzyko· EPSS 20%
Podatność typu SQL injection w menedżerze tagów w GazellePW (GazellePosterWall), umożliwiająca zdalnym uwierzytelnionym użytkownikom z uprawnieniami users_mod wykonanie dowolnych poleceń SQL poprzez parametr tagid lub type w spreparowanym żądaniu POST do tools.php?action=manage_tags.
- CVE-2026-38466Niskie ryzyko· EPSS 22%
Podatność Stored XSS w funkcji niestandardowego tytułu remastera w GazellePW (GazellePosterWall) pozwala zdalnym uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego kodu JavaScript przez parametr remaster_custom_title, który jest przechowywany podczas przesyłania lub edycji torrenta i później renderowany w tytule torrenta.
- CVE-2026-38465Niskie ryzyko· EPSS 21%
Podatność Stored XSS w funkcji tekstu po najechaniu na awatar darczyńcy w GazellePW (GazellePosterWall) pozwala zdalnym uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego kodu JavaScript przez parametr avatar_mouse_over_text, który jest przechowywany i później renderowany w dymku awatara.
Oryginalny opis (angielski, źródło NVD)
GazellePW (GazellePosterWall) commit 86c4bedf727691b5a97af42a4864869d18446449 suffers from a Broken access control vulnerability in the IP lock manager, which allows remote authenticated users to add, modify, or delete IP lock entries for arbitrary accounts via tools.php?action=iplock.