CVE-2026-89264
ŚrednieCVSS 4.3Streszczenie
MoguBlog do wersji 6.2 nie weryfikuje tożsamości autora komentarza w punkcie końcowym POST /web/comment/add, co pozwala uwierzytelnionym użytkownikom publikować komentarze przypisane do dowolnego innego użytkownika. Atakujący mogą podać dowolne wartości userUid w treści żądania, aby podszyć się pod inne konta, w tym administratorów.
Ocena ryzyka
Atakujący może podszyć się pod innych użytkowników, w tym administratorów, co może prowadzić do rozpowszechniania fałszywych informacji, reputacyjnych szkód lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj MoguBlog do wersji zawierającej poprawkę lub wprowadź walidację tożsamości autora komentarza na podstawie sesji. Monitoruj nietypowe komentarze.
Inne podatności w MoguBlog
Zobacz wszystkie- CVE-2026-89265Średnie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym POST /pictureSort/getPictureSortByUid, który pomija adnotację @AuthorityVerify wymaganą do egzekwowania uprawnień opartych na rolach. Uwierzytelnieni użytkownicy back-office bez uprawnień do kategorii obrazów mogą podać uid kategorii, aby uzyskać dostęp do zastrzeżonych rekordów kategorii obrazów, w tym metadanych takich jak nazwa, uid pliku okładki, kolejność sortowania i znaczniki czasu.
- CVE-2026-89263Średnie
MoguBlog do wersji 6.2 nie uwierzytelnia żądań do endpointu /web/comment/closeEmailNotification. Nieuwierzytelniony atakujący może wyłączyć powiadomienia e-mail dla dowolnego użytkownika, modyfikując flagę startEmailNotification w pamięci podręcznej Redis.
- CVE-2026-89262Wysokie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym usuwania komentarzy, który sprawdza własność na podstawie pól treści żądania zamiast uwierzytelnionego podmiotu. Atakujący może usuwać dowolne komentarze i ich odpowiedzi, podając identyfikatory komentarzy i autorów uzyskane z nieuwierzytelnionych punktów końcowych listowania.
- CVE-2026-89261Średnie
MoguBlog do wersji 6.2 udostępnia endpointy zarządzania indeksem Elasticsearch w usłudze mogu_search bez uwierzytelniania. Zdalny atakujący może usuwać, odtwarzać lub modyfikować indeks wyszukiwania bloga, co prowadzi do błędnych lub braku wyników wyszukiwania.
- CVE-2026-89260Wysokie
MoguBlog do wersji 6.2 zawiera podatność XML external entity injection w obsłudze wywołań zwrotnych WeChat pod adresem POST /wechat/wechatCheck. Metoda WechatRestApi.index() przekazuje surowe ciało żądania do SignUtil.xmlToMap(), która używa nieutwardzonego dom4j SAXReader bez ograniczeń DTD ani encji zewnętrznych. Nieuwierzytelnieni zdalni atakujący mogą przesyłać deklaracje DOCTYPE z zewnętrznymi encjami parametrów, aby odczytać dowolne pliki lokalne lub wywołać wychodzące żądania HTTP, a rozwiązane encje są odzwierciedlane w odpowiedziach błędów.
Oryginalny opis (angielski, źródło NVD)
MoguBlog through 6.2 fails to validate the comment author identity in the POST /web/comment/add endpoint, allowing authenticated users to post comments attributed to any other user. Attackers can supply arbitrary userUid values in the request body to impersonate other accounts including administrators.