CVE-2026-86111
ŚrednieCVSS 6.5Streszczenie
BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w punkcie końcowym edycji statusu, co pozwala uwierzytelnionym atakującym czytać recenzje przeznaczone tylko dla obserwujących oraz wiadomości bezpośrednie poprzez enumerację sekwencyjnych identyfikatorów statusów. Atakujący mogą uzyskać dostęp do surowej treści ograniczonych statusów przez widok edycji, omijając zabezpieczenia prywatności udokumentowane dla tych typów wiadomości.
Ocena ryzyka
Ryzyko obejmuje ujawnienie prywatnych treści, co może prowadzić do naruszenia poufności komunikacji użytkowników i potencjalnych konsekwencji prawnych.
Rekomendacja
Zaktualizuj BookWyrm do wersji, która poprawnie sprawdza uprawnienia widoczności w punkcie edycji statusu. Dodatkowo ogranicz dostęp do edycji tylko dla właścicieli statusów.
Inne podatności w BookWyrm
Zobacz wszystkie- CVE-2026-86113Średnie
BookWyrm do wersji 0.9.1 zawiera podatność obejścia autoryzacji w funkcji edit_readthrough, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy czytelnicze innych użytkowników. Atakujący mogą wykorzystać sekwencyjne identyfikatory ReadThrough, aby nadpisać daty rozpoczęcia, zakończenia, postęp i tryb postępu dowolnych użytkowników, wpływając na statystyki czytania i eksportowane dane.
- CVE-2026-86112Średnie
BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w widokach Favorite i Unfavorite, co pozwala uwierzytelnionym atakującym dodawać do ulubionych lub usuwać z ulubionych statusy przeznaczone tylko dla obserwujących oraz bezpośrednie, do których nie mają dostępu. Atakujący mogą wysyłać POST do punktu końcowego ulubionych z identyfikatorem statusu, aby tworzyć nieautoryzowane interakcje, wyzwalać transmisje ActivityPub i enumerować prywatne identyfikatory statusów poprzez różnicowanie odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
BookWyrm through 0.9.1 fails to validate user visibility permissions in the status edit endpoint, allowing authenticated attackers to read followers-only and direct-message reviews by enumerating sequential status IDs. Attackers can access the raw content of restricted statuses through the edit view, bypassing the privacy protections documented for these message types.