CVE-2026-92565

ŚrednieCVSS 5.3

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Podatność ujawnienia informacji w Rallly przed wersją 4.15.0 w procedurze tRPC polls.get, która zwraca nazwiska i adresy e-mail zaproszonych osób na zaplanowane wydarzenia nieuwierzytelnionym wywołującym. Atakujący mogą uzyskać identyfikator urlId ankiety z publicznych linków zaproszeń, aby pobrać wrażliwe informacje o zaproszonych, niezależnie od ustawień prywatności.

Ocena ryzyka

Ryzyko polega na ujawnieniu danych osobowych uczestników wydarzeń, co może prowadzić do naruszenia prywatności, phishing'u lub innych ataków socjotechnicznych.

Rekomendacja

Należy zaktualizować Rallly do wersji 4.15.0 lub nowszej oraz sprawdzić konfigurację prywatności ankiet, aby uniemożliwić nieautoryzowany dostęp do danych zaproszonych.

Inne podatności w Rallly

CVE-2025-65021Krytyczne
Rallly przed wersją 4.5.4 ma podatność IDOR w funkcji finalizacji ankiety. Każdy uwierzytelniony użytkownik może sfinalizować ankietę, której nie jest właścicielem, manipulując parametrem pollId w żądaniu, co pozwala na nieautoryzowaną finalizację i konwersję ankiet na wydarzenia.

Oryginalny opis (angielski, źródło NVD)

Rallly before 4.15.0 contains an information disclosure vulnerability in the polls.get tRPC procedure that returns scheduled-event invitee names and email addresses to unauthenticated callers. Attackers can access a poll's urlId from public invite links to retrieve sensitive invitee information regardless of privacy settings.