CVE-2026-89265
ŚrednieCVSS 4.3Streszczenie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym POST /pictureSort/getPictureSortByUid, który pomija adnotację @AuthorityVerify wymaganą do egzekwowania uprawnień opartych na rolach. Uwierzytelnieni użytkownicy back-office bez uprawnień do kategorii obrazów mogą podać uid kategorii, aby uzyskać dostęp do zastrzeżonych rekordów kategorii obrazów, w tym metadanych takich jak nazwa, uid pliku okładki, kolejność sortowania i znaczniki czasu.
Ocena ryzyka
Uwierzytelniony użytkownik bez odpowiednich uprawnień może uzyskać dostęp do zastrzeżonych informacji, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj MoguBlog do wersji zawierającej poprawkę lub dodaj adnotację @AuthorityVerify do punktu końcowego. Zweryfikuj uprawnienia użytkowników back-office.
Inne podatności w MoguBlog
Zobacz wszystkie- CVE-2026-89264Średnie
MoguBlog do wersji 6.2 nie weryfikuje tożsamości autora komentarza w punkcie końcowym POST /web/comment/add, co pozwala uwierzytelnionym użytkownikom publikować komentarze przypisane do dowolnego innego użytkownika. Atakujący mogą podać dowolne wartości userUid w treści żądania, aby podszyć się pod inne konta, w tym administratorów.
- CVE-2026-89263Średnie
MoguBlog do wersji 6.2 nie uwierzytelnia żądań do endpointu /web/comment/closeEmailNotification. Nieuwierzytelniony atakujący może wyłączyć powiadomienia e-mail dla dowolnego użytkownika, modyfikując flagę startEmailNotification w pamięci podręcznej Redis.
- CVE-2026-89262Wysokie
MoguBlog do wersji 6.2 zawiera podatność obejścia autoryzacji w punkcie końcowym usuwania komentarzy, który sprawdza własność na podstawie pól treści żądania zamiast uwierzytelnionego podmiotu. Atakujący może usuwać dowolne komentarze i ich odpowiedzi, podając identyfikatory komentarzy i autorów uzyskane z nieuwierzytelnionych punktów końcowych listowania.
- CVE-2026-89261Średnie
MoguBlog do wersji 6.2 udostępnia endpointy zarządzania indeksem Elasticsearch w usłudze mogu_search bez uwierzytelniania. Zdalny atakujący może usuwać, odtwarzać lub modyfikować indeks wyszukiwania bloga, co prowadzi do błędnych lub braku wyników wyszukiwania.
- CVE-2026-89260Wysokie
MoguBlog do wersji 6.2 zawiera podatność XML external entity injection w obsłudze wywołań zwrotnych WeChat pod adresem POST /wechat/wechatCheck. Metoda WechatRestApi.index() przekazuje surowe ciało żądania do SignUtil.xmlToMap(), która używa nieutwardzonego dom4j SAXReader bez ograniczeń DTD ani encji zewnętrznych. Nieuwierzytelnieni zdalni atakujący mogą przesyłać deklaracje DOCTYPE z zewnętrznymi encjami parametrów, aby odczytać dowolne pliki lokalne lub wywołać wychodzące żądania HTTP, a rozwiązane encje są odzwierciedlane w odpowiedziach błędów.
Oryginalny opis (angielski, źródło NVD)
MoguBlog through 6.2 contains an authorization bypass vulnerability in the POST /pictureSort/getPictureSortByUid endpoint, which omits the @AuthorityVerify annotation required to enforce role-based permissions. Authenticated back-office users without image-category permissions can supply a category uid to retrieve restricted image-category records including metadata such as name, cover file uid, sort order and timestamps.