CVE-2026-61504

Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 polega na generowaniu klucza podpisu ciasteczka sesji przy użyciu niekryptograficznego generatora Math.random() oraz ujawnianiu jego wyników nieuwierzytelnionym klientom podczas logowania. Zdalny atakujący może zebrać kilka odpowiedzi logowania, odtworzyć stan generatora, odzyskać klucz podpisu i sfałszować ważne ciasteczko sesji administratora, co prowadzi do pełnego dostępu administracyjnego i zdalnego wykonania kodu przez funkcję konfiguracji server_code.

Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu odczyt plików JSON poza udostępnionymi folderami poprzez manipulację parametrem 'lang'. Eksploatacja jest ograniczona do plików o wąskim wzorcu nazewnictwa i formatu, co zmniejsza praktyczne ryzyko.

Rejetto HFS w wersjach od 3.0.0 do 3.2.0 zwraca różne odpowiedzi z punktu logowania w zależności od tego, czy podana nazwa użytkownika istnieje. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę różnicę do potwierdzenia prawidłowych nazw kont, w tym domyślnego konta administratora.

Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 pozwala na wykonywanie żądań zmieniających stan przez metodę GET, która jest wyłączona z kontroli nagłówka anty-CSRF. Zdalny atakujący może wykonać działania administracyjne, w tym tworzenie kont i zmianę konfiguracji, prowadzące do wykonania kodu.

Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 polega na braku sanityzacji wpisów dziennika w panelu administracyjnym. Zdalny, nieuwierzytelniony atakujący może wysłać nieudane logowanie z spreparowaną nazwą użytkownika, która jest zapisywana do dziennika błędów i wykonuje JavaScript w przeglądarce administratora podczas przeglądania logów.