CVE-2026-90507
ŚrednieCVSS 6.3Streszczenie
W produkcie WARP-Clash-API wykryto podatność w funkcji get_surge_subscription w pliku services/subscription.py komponentu Subscription Handler. Manipulacja argumentem key prowadzi do niewłaściwej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Niewłaściwa kontrola dostępu umożliwia zdalnym atakującym nieautoryzowany dostęp do subskrypcji. Może to prowadzić do wycieku danych lub nieautoryzowanego korzystania z usług.
Rekomendacja
Zaleca się zaprzestanie korzystania z tego produktu, ponieważ nie jest już wspierany przez maintainera. Jeśli to niemożliwe, należy wdrożyć dodatkowe mechanizmy kontroli dostępu.
Inne podatności w WARP-Clash-API
Zobacz wszystkie- CVE-2026-90506Średnie
W produkcie WARP-Clash-API wykryto podatność w nieznanej funkcji komponentu Save Account Job. Manipulacja powoduje warunek wyścigu (race condition). Atak można przeprowadzić zdalnie, ale jego złożoność jest wysoka, a wykorzystanie trudne.
- CVE-2026-90505Średnie
W projekcie WARP-Clash-API wykryto podatność typu race condition w funkcji doUpdateLicenseKey. Atak można przeprowadzić zdalnie, wymaga on jednak wysokiego poziomu złożoności, a jego wykorzystanie jest określane jako trudne. Exploit został publicznie ujawniony, a projekt nie jest już wspierany przez maintainera.
- CVE-2026-90504Wysokie
W produkcie WARP-Clash-API wykryto podatność polegającą na braku uwierzytelniania w funkcji authorized. Manipulacja argumentem SECRET_KEY pozwala na nieautoryzowany dostęp zdalny. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in vvbbnn00 WARP-Clash-API up to c7bf2360073959861219b422e51ae86411051b46. Affected is the function get_surge_subscription of the file services/subscription.py of the component Subscription Handler. Such manipulation of the argument key leads to improper access controls. The attack may be launched remotely. The exploit is publicly available and might be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.