CVE-2026-89263
ŚrednieCVSS 5.3Streszczenie
MoguBlog do wersji 6.2 nie uwierzytelnia żądań do endpointu /web/comment/closeEmailNotification. Nieuwierzytelniony atakujący może wyłączyć powiadomienia e-mail dla dowolnego użytkownika, modyfikując flagę startEmailNotification w pamięci podręcznej Redis.
Ocena ryzyka
Atakujący może bez logowania wyciszyć powiadomienia o odpowiedziach dla dowolnych użytkowników, co utrudnia komunikację i może maskować inne działania w serwisie.
Rekomendacja
Zaktualizuj MoguBlog do wersji nowszej niż 6.2, gdy będzie dostępna, oraz wdrożyć uwierzytelnianie i autoryzację dla endpointu closeEmailNotification.
Inne podatności w MoguBlog
Zobacz wszystkie- CVE-2026-89265Średnie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym POST /pictureSort/getPictureSortByUid, który pomija adnotację @AuthorityVerify wymaganą do egzekwowania uprawnień opartych na rolach. Uwierzytelnieni użytkownicy back-office bez uprawnień do kategorii obrazów mogą podać uid kategorii, aby uzyskać dostęp do zastrzeżonych rekordów kategorii obrazów, w tym metadanych takich jak nazwa, uid pliku okładki, kolejność sortowania i znaczniki czasu.
- CVE-2026-89264Średnie
MoguBlog do wersji 6.2 nie weryfikuje tożsamości autora komentarza w punkcie końcowym POST /web/comment/add, co pozwala uwierzytelnionym użytkownikom publikować komentarze przypisane do dowolnego innego użytkownika. Atakujący mogą podać dowolne wartości userUid w treści żądania, aby podszyć się pod inne konta, w tym administratorów.
- CVE-2026-89262Wysokie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym usuwania komentarzy, który sprawdza własność na podstawie pól treści żądania zamiast uwierzytelnionego podmiotu. Atakujący może usuwać dowolne komentarze i ich odpowiedzi, podając identyfikatory komentarzy i autorów uzyskane z nieuwierzytelnionych punktów końcowych listowania.
- CVE-2026-89261Średnie
MoguBlog do wersji 6.2 udostępnia endpointy zarządzania indeksem Elasticsearch w usłudze mogu_search bez uwierzytelniania. Zdalny atakujący może usuwać, odtwarzać lub modyfikować indeks wyszukiwania bloga, co prowadzi do błędnych lub braku wyników wyszukiwania.
- CVE-2026-89260Wysokie
MoguBlog do wersji 6.2 zawiera podatność XML external entity injection w obsłudze wywołań zwrotnych WeChat pod adresem POST /wechat/wechatCheck. Metoda WechatRestApi.index() przekazuje surowe ciało żądania do SignUtil.xmlToMap(), która używa nieutwardzonego dom4j SAXReader bez ograniczeń DTD ani encji zewnętrznych. Nieuwierzytelnieni zdalni atakujący mogą przesyłać deklaracje DOCTYPE z zewnętrznymi encjami parametrów, aby odczytać dowolne pliki lokalne lub wywołać wychodzące żądania HTTP, a rozwiązane encje są odzwierciedlane w odpowiedziach błędów.
Oryginalny opis (angielski, źródło NVD)
MoguBlog through 6.2 fails to authenticate requests to the /web/comment/closeEmailNotification endpoint, allowing unauthenticated attackers to disable email notifications for arbitrary users. Remote callers can modify the startEmailNotification flag in Redis cache for any user identifier to suppress reply notifications without authorization.