CVE-2026-90939
ŚrednieCVSS 6.5Streszczenie
novel-plus do wersji 5.3.3 zawiera podatność ujawniania informacji w punkcie końcowym /sys/user/list, który nie ma odpowiednich adnotacji uprawnień. Uwierzytelnieni atakujący mogą pobrać hashy haseł oraz dane osobowe, w tym adresy e-mail i numery telefonów użytkowników w zakresie swoich danych, co umożliwia złamanie haseł w trybie offline i przejęcie kont.
Ocena ryzyka
Wyciek hashy haseł i danych osobowych może prowadzić do przejęcia kont użytkowników, naruszenia prywatności i potencjalnych ataków phishingowych.
Rekomendacja
Zaktualizuj novel-plus do wersji, która dodaje właściwe kontrole dostępu dla tego punktu końcowego lub ogranicz dostęp tylko do upoważnionych ról. Dodatkowo wymuszaj silne hasła i rozważ wymuszenie resetu haseł dla dotkniętych kont.
Inne podatności w novel-plus
Zobacz wszystkie- CVE-2026-90941Średnie
novel-plus do wersji 5.3.3 zawiera podatność polegającą na obejściu autoryzacji w punkcie końcowym BookController download, która pozwala uwierzytelnionym kontom backendu na eksport pełnego tekstu książki, w tym płatnych rozdziałów. Atakujący może podać bookId i bookName, aby pobrać całą zawartość rozdziałów bez weryfikacji VIP lub zakupu, omijając sprawdzanie uprawnień i ograniczeń zakresu danych.
- CVE-2026-90940Średnie
novel-plus do wersji 5.3.3 zawiera niebezpieczne domyślne hasło zarządzania pamięcią podręczną w punkcie końcowym CacheController.refreshCache, które pozwala anonimowym atakującym unieważnić pamięć podręczną portalu, podając zakodowaną domyślną wartość w ścieżce URL. Atakujący może wywołać nieautoryzowane unieważnienie pamięci podręcznej, dostępając do punktu cache/refresh ze znanym domyślnym hasłem, co wymusza niepotrzebne zapytania do bazy danych.
- CVE-2023-37847Krytyczne
W systemie novel-plus w wersji 3.6.2 wykryto podatność na wstrzykiwanie SQL. Luka ta może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
novel-plus through 5.3.3 contains an information disclosure vulnerability in the /sys/user/list endpoint that lacks proper permission annotations. Authenticated attackers can retrieve password hashes and personal data including email addresses and phone numbers for users within their data scope, enabling offline hash cracking and account takeover.