CVE-2026-90505
ŚrednieCVSS 5.0Streszczenie
W projekcie WARP-Clash-API wykryto podatność typu race condition w funkcji doUpdateLicenseKey. Atak można przeprowadzić zdalnie, wymaga on jednak wysokiego poziomu złożoności, a jego wykorzystanie jest określane jako trudne. Exploit został publicznie ujawniony, a projekt nie jest już wspierany przez maintainera.
Ocena ryzyka
Podatność dotyczy nieobsługiwanego już produktu, więc nie będą dostarczane poprawki bezpieczeństwa. Organizacje korzystające z tego komponentu są narażone na ataki bez możliwości łatania.
Rekomendacja
Zidentyfikuj wszelkie użycie WARP-Clash-API w środowisku i zaplanuj migrację na wspierane rozwiązanie alternatywne. Nie polegaj na dostawcy w zakresie poprawek, ponieważ projekt nie jest już utrzymywany.
Inne podatności w WARP-Clash-API
Zobacz wszystkie- CVE-2026-90507Średnie
W produkcie WARP-Clash-API wykryto podatność w funkcji get_surge_subscription w pliku services/subscription.py komponentu Subscription Handler. Manipulacja argumentem key prowadzi do niewłaściwej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90506Średnie
W produkcie WARP-Clash-API wykryto podatność w nieznanej funkcji komponentu Save Account Job. Manipulacja powoduje warunek wyścigu (race condition). Atak można przeprowadzić zdalnie, ale jego złożoność jest wysoka, a wykorzystanie trudne.
- CVE-2026-90504Wysokie
W produkcie WARP-Clash-API wykryto podatność polegającą na braku uwierzytelniania w funkcji authorized. Manipulacja argumentem SECRET_KEY pozwala na nieautoryzowany dostęp zdalny. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in vvbbnn00 WARP-Clash-API up to c7bf2360073959861219b422e51ae86411051b46. This affects the function doUpdateLicenseKey. The manipulation results in race condition. The attack can be launched remotely. The attack requires a high level of complexity. The exploitability is reported as difficult. The exploit has been made public and could be used. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.