CVE-2026-89262
WysokieCVSS 7.5Streszczenie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym usuwania komentarzy, który sprawdza własność na podstawie pól treści żądania zamiast uwierzytelnionego podmiotu. Atakujący może usuwać dowolne komentarze i ich odpowiedzi, podając identyfikatory komentarzy i autorów uzyskane z nieuwierzytelnionych punktów końcowych listowania.
Ocena ryzyka
Atakujący może bez autoryzacji usuwać dowolne komentarze i odpowiedzi, co prowadzi do utraty danych i możliwej manipulacji treścią.
Rekomendacja
Zaktualizuj MoguBlog do wersji nowszej niż 6.2, w której poprawiono sprawdzanie autoryzacji w punkcie końcowym usuwania komentarzy.
Inne podatności w MoguBlog
Zobacz wszystkie- CVE-2026-89265Średnie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym POST /pictureSort/getPictureSortByUid, który pomija adnotację @AuthorityVerify wymaganą do egzekwowania uprawnień opartych na rolach. Uwierzytelnieni użytkownicy back-office bez uprawnień do kategorii obrazów mogą podać uid kategorii, aby uzyskać dostęp do zastrzeżonych rekordów kategorii obrazów, w tym metadanych takich jak nazwa, uid pliku okładki, kolejność sortowania i znaczniki czasu.
- CVE-2026-89264Średnie
MoguBlog do wersji 6.2 nie weryfikuje tożsamości autora komentarza w punkcie końcowym POST /web/comment/add, co pozwala uwierzytelnionym użytkownikom publikować komentarze przypisane do dowolnego innego użytkownika. Atakujący mogą podać dowolne wartości userUid w treści żądania, aby podszyć się pod inne konta, w tym administratorów.
- CVE-2026-89263Średnie
MoguBlog do wersji 6.2 nie uwierzytelnia żądań do endpointu /web/comment/closeEmailNotification. Nieuwierzytelniony atakujący może wyłączyć powiadomienia e-mail dla dowolnego użytkownika, modyfikując flagę startEmailNotification w pamięci podręcznej Redis.
- CVE-2026-89261Średnie
MoguBlog do wersji 6.2 udostępnia endpointy zarządzania indeksem Elasticsearch w usłudze mogu_search bez uwierzytelniania. Zdalny atakujący może usuwać, odtwarzać lub modyfikować indeks wyszukiwania bloga, co prowadzi do błędnych lub braku wyników wyszukiwania.
- CVE-2026-89260Wysokie
MoguBlog do wersji 6.2 zawiera podatność XML external entity injection w obsłudze wywołań zwrotnych WeChat pod adresem POST /wechat/wechatCheck. Metoda WechatRestApi.index() przekazuje surowe ciało żądania do SignUtil.xmlToMap(), która używa nieutwardzonego dom4j SAXReader bez ograniczeń DTD ani encji zewnętrznych. Nieuwierzytelnieni zdalni atakujący mogą przesyłać deklaracje DOCTYPE z zewnętrznymi encjami parametrów, aby odczytać dowolne pliki lokalne lub wywołać wychodzące żądania HTTP, a rozwiązane encje są odzwierciedlane w odpowiedziach błędów.
Oryginalny opis (angielski, źródło NVD)
MoguBlog through 6.2 contains an authorization bypass vulnerability in the comment deletion endpoint that performs ownership checks against request-body fields instead of the authenticated principal. Attackers can delete arbitrary comments and their replies by supplying comment UIDs and author UIDs obtained from unauthenticated listing endpoints.