CVE-2026-4982
WysokieStreszczenie
Użytkownik z uprawnieniem "update world" w dowolnym świecie Venueless może wyeksfiltrować wiadomości czatu z bezpośrednich wiadomości lub kanałów w innych światach na tym samym serwerze z powodu błędu w funkcji raportowania. Wykorzystanie jest ograniczone koniecznością znajomości wewnętrznego UUID kanału.
Ocena ryzyka
Ryzyko wycieku prywatnych rozmów między użytkownikami, co może naruszyć poufność komunikacji i zaufanie do platformy.
Rekomendacja
Zaleca się ograniczenie uprawnień "update world" oraz wdrożenie poprawek dostarczonych przez producenta Venueless w celu usunięcia błędu w funkcji raportowania.
Inne podatności w Venueless
Zobacz wszystkie- CVE-2026-82838Średnie
Domyślny obraz Dockera dla Venueless nie zapewniał, że przesłane pliki SVG nie będą zawierać wykonywalnego kodu JavaScript. Obecnie ustawiono prawidłową politykę bezpieczeństwa treści (CSP).
- CVE-2026-5599Wysokie
Podatność w systemie venueless pozwala użytkownikowi z dostępem API i uprawnieniem 'manage users' w dowolnym świecie na wywołanie usunięcia kont użytkowników w innych światach.
Oryginalny opis (angielski, źródło NVD)
A user with permission "update world" in any Venueless world is able to exfiltrate chat messages from direct messages or channels in other worlds on the same server due to a bug in the reporting feature. The exploitability is limited by the fact that the attacker needs to know the internal channel UUID of the chat channel, which is unlikely to be obtained by an outside attacker, especially for direct messages.