CVE-2026-57578
KrytyczneCVSS 9.2Streszczenie
DotVVM to otwartoźródłowy framework MVVM dla aplikacji webowych. W wersjach przed 4.2.11, 4.3.15 i 5.0.0-preview09-final filtr AuthorizeActionFilter nie wykonuje żadnej autoryzacji, ponieważ jego implementacje OnCommandExecutingAsync, OnViewModelCreatedAsync i OnPresenterExecutingAsync zwracają zakończone zadania zamiast wywoływać odpowiednie sprawdzenia. Aplikacje polegające na tym filtrze mogą ujawnić chronione komendy, modele widoków lub prezentery nieautoryzowanym żądaniom bez żadnej specjalnej techniki obejścia.
Ocena ryzyka
Chronione zasoby mogą być dostępne dla nieautoryzowanych użytkowników, co prowadzi do nieuprawnionego dostępu do funkcji i danych aplikacji.
Rekomendacja
Zaktualizuj DotVVM do wersji 4.2.11, 4.3.15 lub 5.0.0-preview09-final; jako obejście użyj AuthorizeAttribute, który poprawnie implementuje te interfejsy.
Inne podatności w DotVVM
Zobacz wszystkie- CVE-2026-57581Średnie
DotVVM przed wersjami 4.2.11, 4.3.15 i 5.0.0-preview09-final pozwala nieuwierzytelnionym użytkownikom na przesyłanie plików bezpośrednio do DotvvmFileUploadMiddleware bez tokenu X-DotVVM-UploadToken generowanego przez komponent FileUpload. Atakujący może wielokrotnie przesyłać pliki i wypełnić pamięć aplikacji, powodując denial of service. Opcja DotvvmConfiguration.Security.AuthorizeFileUpload może dodatkowo ograniczyć, którzy użytkownicy mogą przesyłać pliki.
- CVE-2026-57577Wysokie
W frameworku DotVVM przed wersjami 4.2.11, 4.3.15 i 5.0.0-preview09-final trasa zawierająca wiele nieograniczonych parametrów w jednym segmencie ścieżki może powodować nadmierne cofanie się wyrażenia regularnego w DotvvmRoute.IsMatch przy długiej ścieżce bliskiej dopasowania. Brak limitu czasu w DotvvmRouteParser.RouteRegex prowadzi do wyczerpania zasobów.
Oryginalny opis (angielski, źródło NVD)
DotVVM is an open source MVVM framework for web applications. Prior to 4.2.11, 4.3.15, and 5.0.0-preview09-final, AuthorizeActionFilter performs no authorization because its explicit ICommandActionFilter.OnCommandExecutingAsync, IViewModelActionFilter.OnViewModelCreatedAsync, and IPresenterActionFilter.OnPresenterExecutingAsync implementations return completed tasks instead of invoking the corresponding checks. Applications relying on this filter can therefore expose protected commands, view models, or presenters to unauthorized requests without any special bypass technique. AuthorizeAttribute correctly implements the same interfaces and can be used as a workaround. This issue is fixed in versions 4.2.11, 4.3.15, and 5.0.0-preview09-final.