CVE-2026-86112
ŚrednieCVSS 5.4Streszczenie
BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w widokach Favorite i Unfavorite, co pozwala uwierzytelnionym atakującym dodawać do ulubionych lub usuwać z ulubionych statusy przeznaczone tylko dla obserwujących oraz bezpośrednie, do których nie mają dostępu. Atakujący mogą wysyłać POST do punktu końcowego ulubionych z identyfikatorem statusu, aby tworzyć nieautoryzowane interakcje, wyzwalać transmisje ActivityPub i enumerować prywatne identyfikatory statusów poprzez różnicowanie odpowiedzi.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności użytkowników i możliwość ujawnienia informacji o prywatnych statusach, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj BookWyrm do wersji, która poprawnie sprawdza uprawnienia widoczności w widokach Favorite i Unfavorite. Dodatkowo ogranicz dostęp do tych funkcji tylko dla uprawnionych użytkowników.
Inne podatności w BookWyrm
Zobacz wszystkie- CVE-2026-86113Średnie
BookWyrm do wersji 0.9.1 zawiera podatność obejścia autoryzacji w funkcji edit_readthrough, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy czytelnicze innych użytkowników. Atakujący mogą wykorzystać sekwencyjne identyfikatory ReadThrough, aby nadpisać daty rozpoczęcia, zakończenia, postęp i tryb postępu dowolnych użytkowników, wpływając na statystyki czytania i eksportowane dane.
- CVE-2026-86111Średnie
BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w punkcie końcowym edycji statusu, co pozwala uwierzytelnionym atakującym czytać recenzje przeznaczone tylko dla obserwujących oraz wiadomości bezpośrednie poprzez enumerację sekwencyjnych identyfikatorów statusów. Atakujący mogą uzyskać dostęp do surowej treści ograniczonych statusów przez widok edycji, omijając zabezpieczenia prywatności udokumentowane dla tych typów wiadomości.
Oryginalny opis (angielski, źródło NVD)
BookWyrm through 0.9.1 fails to validate user visibility permissions in the Favorite and Unfavorite views, allowing authenticated attackers to favorite or unfavorite followers-only and direct statuses they cannot access. Attackers can POST to the favorite endpoint with a status ID to create unauthorized interactions, trigger ActivityPub broadcasts, and enumerate private status IDs through response differentiation.