CVE-2026-69114
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Spacebar Server przed commit 8d126f4 zawiera podatność na usuwanie wiadomości między kanałami w handlerach usuwania pojedynczych i masowych wiadomości, które nie ograniczają zapytań do żądanego kanału. Uwierzytelnieni użytkownicy z uprawnieniami MANAGE_MESSAGES w dowolnym kontrolowanym kanale mogą usuwać dowolne wiadomości w innych kanałach, kierując żądania usunięcia przez własny kanał.
Ocena ryzyka
Ryzyko nieautoryzowanego usuwania wiadomości w całym serwerze, co może prowadzić do utraty danych i naruszenia integralności komunikacji.
Rekomendacja
Zaktualizuj Spacebar Server do wersji zawierającej poprawkę (commit 8d126f4) i upewnij się, że zapytania usuwania są ograniczone do właściwego kanału.
Inne podatności w Spacebar Server
Zobacz wszystkie- CVE-2026-70618Średnie
Spacebar Server przed commit 51da17c zawiera podatność polegającą na braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na wyliczenie pełnego członkostwa w gildii poprzez zapytanie do endpointu GET /guilds/{guild_id}/roles/{role_id}/member-ids bez weryfikacji członkostwa w gildii.
- CVE-2026-70617Wysokie
Spacebar Server przed commit dcfd910 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu atakującemu dodać siebie do dowolnych grupowych kanałów DM poprzez wysłanie żądania PUT do punktu końcowego odbiorców kanału bez weryfikacji członkostwa. Atakujący mogą dołączyć do prywatnych grupowych DM, czytać pełną historię wiadomości, publikować wiadomości jako uczestnik oraz dodawać osoby trzecie bez ich zgody.
Oryginalny opis (angielski, źródło NVD)
Spacebar Server before commit 8d126f4 contains a cross-channel message deletion vulnerability in the single-delete and bulk-delete message handlers that fail to scope message queries to the requested channel. Authenticated users with MANAGE_MESSAGES permission in any controlled channel can delete arbitrary messages in other channels by routing delete requests through their own channel.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS