CVE-2026-72575
KrytyczneCVSS 9.1Streszczenie
Podatność na nieprawidłową autoryzację w daptin do wersji v0.12.34 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt, tworzenie, aktualizację i usuwanie rekordów grup użytkowników. Funkcje sprawdzania uprawnień zwracają true, gdy p.UserId równa się identyfikatorowi żądającego użytkownika, ale nie odrzucają referencji null/zero, w przeciwieństwie do CanExecute. Ponieważ wiersze tabeli usergroup nie mają user_account_id i są ładowane z właścicielem null, nieuwierzytelniony gość z sesją UserId null uzyskuje pełny dostęp CRUD do wszystkich obiektów usergroup.
Ocena ryzyka
Atakujący może manipulować grupami użytkowników, co może prowadzić do eskalacji uprawnień, naruszenia kontroli dostępu i nieautoryzowanych zmian w systemie.
Rekomendacja
Należy zaktualizować daptin do wersji z poprawką, która poprawnie odrzuca referencje null/zero w funkcjach sprawdzania uprawnień, oraz wdrożyć testy bezpieczeństwa dla scenariuszy z niezalogowanymi użytkownikami.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in daptin through v0.12.34 allows unauthenticated remote attackers to read, create, update, and delete usergroup records. The permission check functions (CanRead, CanPeek, CanCreate, CanUpdate, CanDelete, CanRefer) in server/permission/permission.go return true whenever p.UserId equals the requesting userId, but fail to reject the null/zero reference — unlike CanExecute, which explicitly guards it. Since usergroup table rows have no user_account_id and are loaded with a null owner, an unauthenticated guest whose session UserId is null gains full CRUD access to all usergroup objects.