CVE-2026-56772
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
NewsBlur przed wersją 14.5.0 zawiera podatność polegającą na uszkodzonej kontroli dostępu, która umożliwia uwierzytelnionym użytkownikom odczytywanie prywatnych kanałów powiadomień poprzez podanie dowolnych wartości user_id w żądaniu GET do /social/interactions bez weryfikacji własności. Atakujący mogą enumerować wartości user_id, aby uzyskać nieautoryzowany dostęp do obserwowanych, odpowiedzi i aktywności społecznej innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do prywatnych danych społecznościowych użytkowników, co może prowadzić do naruszenia poufności i prywatności, a także umożliwić atakującym zbieranie informacji o relacjach i aktywności innych osób.
Rekomendacja
Należy niezwłocznie zaktualizować NewsBlur do wersji 14.5.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Dodatkowo warto wdrożyć mechanizmy weryfikacji własności dla wszystkich endpointów wymagających dostępu do danych użytkownika.
Inne podatności w NewsBlur
Oryginalny opis (angielski, źródło NVD)
NewsBlur before 14.5.0 contains a broken access control vulnerability that allows authenticated users to read private notification feeds by supplying arbitrary user_id values to the GET /social/interactions endpoint without ownership verification. Attackers can enumerate user_id values to access another user's follows, replies, and social activity without authorization.