CVE-2026-40571
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
NamelessMC, oprogramowanie stron internetowych dla serwerów Minecraft, w wersji 2.2.4 nie sprawdza, czy profil jest prywatny lub czy użytkownik został zablokowany podczas dodawania reakcji do postów na ścianie. Plik `core/classes/Misc/ProfilePostReactionContext.php` tylko weryfikuje istnienie posta, nie egzekwując widoczności. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą dodawać reakcje do prywatnych postów lub postów użytkowników, którzy ich zablokowali. Wersja 2.2.5 zawiera poprawkę.
Ocena ryzyka
Ryzyko polega na naruszeniu prywatności użytkowników – osoby z niskimi uprawnieniami mogą wchodzić w interakcje z treściami, które powinny być dla nich niedostępne, co może prowadzić do nękania lub ujawnienia prywatnych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację NamelessMC do wersji 2.2.5 lub nowszej oraz przegląd istniejących reakcji na prywatnych postach.
Inne podatności w NamelessMC
Zobacz wszystkie- CVE-2026-40314Średnie
W NamelessMC w wersji 2.2.4, funkcja ProfilePostReactionContext.php nie sprawdza widoczności prywatnych profili ani blokad, a moduł reactions.php pozwala na nieuwierzytelnione żądania GET. Umożliwia to nieuwierzytelnionym gościom odczyt reakcji i znaczników czasu dla prywatnych postów, a uwierzytelnionym użytkownikom o niskich uprawnieniach dodawanie reakcji do prywatnych lub blokujących postów. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35447Średnie
NamelessMC w wersji 2.2.4 przetwarza wpisy na tablicy profilu przed sprawdzeniem uprawnień dostępu do profilu. Użytkownik z uprawnieniem profile.post może pisać na prywatnych profilach, a także wstawiać odpowiedzi do dowolnych wpisów innych profili. Problem naprawiono w wersji 2.2.5.
- CVE-2026-35443Średnie
NamelessMC 2.2.4 nie sprawdza uprawnień na poziomie tematu (view_other_topics) podczas odczytu i modyfikacji reakcji na postach. Użytkownik mający dostęp do forum, ale mogący widzieć tylko własne tematy, może odczytywać i zmieniać reakcje na tematach innych użytkowników. Problem został naprawiony w wersji 2.2.5.
- CVE-2026-34460Średnie
NamelessMC, oprogramowanie dla serwerów Minecraft, w wersjach 2.2.4 i wcześniejszych, nie weryfikuje parametru state po stronie serwera podczas wywołania zwrotnego OAuth. Umożliwia to atakującemu przechwycenie prawidłowego adresu URL OAuth i podmianę sesji ofiary na konto powiązane z atakującym (CSRF logowania OAuth / podmiana sesji).
- CVE-2026-33398Wysokie
NamelessMC w wersji 2.2.4 ma podatność w pliku modules/Forum/pages/forum/get_quotes.php, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt treści z ukrytych, prywatnych lub tylko dla personelu forów poprzez enumerację ID postów. Backend nie egzekwuje ACL forów ani tematów.
- CVE-2026-32250Średnie
W NamelessMC 2.2.4 odkryto odbitą podatność XSS w parametrze id endpointu `/index.php?route=/queries/user/`. Aplikacja odzwierciedla dane wejściowe użytkownika bez odpowiedniej sanityzacji, co pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
NamelessMC is website software for Minecraft servers. In version 2.2.4, `core/classes/Misc/ProfilePostReactionContext.php` only verifies that the wall post exists and does not enforce blocked/private-profile visibility. This means that authenticated low-privileged users can add reactions to private or blocking profile posts. Version 2.2.5 contains a patch.