CVE-2026-70617
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Spacebar Server przed commit dcfd910 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu atakującemu dodać siebie do dowolnych grupowych kanałów DM poprzez wysłanie żądania PUT do punktu końcowego odbiorców kanału bez weryfikacji członkostwa. Atakujący mogą dołączyć do prywatnych grupowych DM, czytać pełną historię wiadomości, publikować wiadomości jako uczestnik oraz dodawać osoby trzecie bez ich zgody.
Ocena ryzyka
Atakujący może uzyskać dostęp do prywatnych rozmów grupowych, co narusza poufność komunikacji i może prowadzić do wycieku wrażliwych informacji. Możliwość dodawania osób trzecich zwiększa ryzyko rozprzestrzeniania ataku.
Rekomendacja
Zaleca się aktualizację Spacebar Server do wersji zawierającej poprawkę (po commicie dcfd910). Należy również wdrożyć weryfikację członkostwa dla wszystkich operacji na kanałach.
Inne podatności w Spacebar Server
Zobacz wszystkie- CVE-2026-69114Średnie
Spacebar Server przed commit 8d126f4 zawiera podatność na usuwanie wiadomości między kanałami w handlerach usuwania pojedynczych i masowych wiadomości, które nie ograniczają zapytań do żądanego kanału. Uwierzytelnieni użytkownicy z uprawnieniami MANAGE_MESSAGES w dowolnym kontrolowanym kanale mogą usuwać dowolne wiadomości w innych kanałach, kierując żądania usunięcia przez własny kanał.
- CVE-2026-70618Średnie
Spacebar Server przed commit 51da17c zawiera podatność polegającą na braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na wyliczenie pełnego członkostwa w gildii poprzez zapytanie do endpointu GET /guilds/{guild_id}/roles/{role_id}/member-ids bez weryfikacji członkostwa w gildii.
Oryginalny opis (angielski, źródło NVD)
Spacebar Server before commit dcfd910 contains a missing authorization vulnerability that allows any authenticated attacker to add themselves to arbitrary group DM channels by sending a PUT request to the channels recipient endpoint without membership verification. Attackers can exploit the unguarded PUT /channels/{channel_id}/recipients/{user_id} handler to join private group DMs, read complete message history, post messages as a participant, and force-add third-party users without their consent.