CVE-2026-90504
WysokieCVSS 7.3Streszczenie
W produkcie WARP-Clash-API wykryto podatność polegającą na braku uwierzytelniania w funkcji authorized. Manipulacja argumentem SECRET_KEY pozwala na nieautoryzowany dostęp zdalny. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Brak uwierzytelniania umożliwia zdalnym atakującym nieautoryzowany dostęp do chronionych funkcji API. Ponieważ exploit jest publicznie dostępny, ryzyko wykorzystania jest wysokie.
Rekomendacja
Zaleca się zaprzestanie korzystania z tego produktu, ponieważ nie jest już wspierany przez maintainera. Jeśli to niemożliwe, należy wdrożyć dodatkowe mechanizmy uwierzytelniania na poziomie infrastruktury.
Inne podatności w WARP-Clash-API
Zobacz wszystkie- CVE-2026-90507Średnie
W produkcie WARP-Clash-API wykryto podatność w funkcji get_surge_subscription w pliku services/subscription.py komponentu Subscription Handler. Manipulacja argumentem key prowadzi do niewłaściwej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90506Średnie
W produkcie WARP-Clash-API wykryto podatność w nieznanej funkcji komponentu Save Account Job. Manipulacja powoduje warunek wyścigu (race condition). Atak można przeprowadzić zdalnie, ale jego złożoność jest wysoka, a wykorzystanie trudne.
- CVE-2026-90505Średnie
W projekcie WARP-Clash-API wykryto podatność typu race condition w funkcji doUpdateLicenseKey. Atak można przeprowadzić zdalnie, wymaga on jednak wysokiego poziomu złożoności, a jego wykorzystanie jest określane jako trudne. Exploit został publicznie ujawniony, a projekt nie jest już wspierany przez maintainera.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in vvbbnn00 WARP-Clash-API up to c7bf2360073959861219b422e51ae86411051b46. The impacted element is the function authorized. The manipulation of the argument SECRET_KEY leads to missing authentication. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.