CVE-2026-92567
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność obejścia autoryzacji w formularzu ankiety TDuck do wersji 5.0 w punkcie końcowym POST /user/form/data/update pozwala uwierzytelnionym użytkownikom na nadpisywanie danych przesłanych przez innych użytkowników. Atakujący mogą odkryć identyfikatory zgłoszeń przydzielane w wąskich zakresach i modyfikować dowolne odpowiedzi zawierające dane osobowe bez weryfikacji własności.
Ocena ryzyka
Ryzyko polega na możliwości manipulowania danymi osobowymi zgromadzonymi w formularzach, co może prowadzić do naruszenia integralności danych, naruszenia prywatności oraz potencjalnych konsekwencji prawnych.
Rekomendacja
Należy zaktualizować TDuck survey form do najnowszej wersji z poprawką oraz wdrożyć mechanizmy weryfikacji własności danych przed zapisem, a także ograniczyć dostęp do tego punktu końcowego tylko dla autoryzowanych użytkowników.
Inne podatności w TDuck survey form
Zobacz wszystkie- CVE-2026-109167Średnie
TDuck survey form do wersji 6.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w obsłudze saveFormTheme, która pozwala uwierzytelnionym użytkownikom na nadpisywanie motywów formularzy innych użytkowników. Atakujący, których formularz nie ma motywu, mogą przesłać sekwencyjny identyfikator motywu innego formularza wraz z własnym formKey, zastępując jego kolory i adresy URL obrazów oraz usuwając motyw ofiary.
- CVE-2026-109165Średnie
TDuck survey form do wersji 6.0 zawiera podatność uszkodzonej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na dodawanie pól do formularzy innych użytkowników poprzez POST /user/form/item/batch/create. Atakujący mogą przesłać tablicę, której pierwszy element odnosi się do ich własnego formularza, a kolejne elementy odnoszą się do formKey ofiary, wstrzykując wybrane przez atakującego pola na publiczną stronę wypełniania ofiary.
- CVE-2026-100306Średnie
TDuck survey form do wersji 6.0 nie weryfikuje haseł zapisu na punktach końcowych przesyłania, egzekwując sprawdzenie tylko na froncie. Zdalni nieuwierzytelnieni atakujący mogą przesyłać wpisy formularza bezpośrednio do publicznych API przesyłania bez podawania hasła, używając klucza formularza z linków udostępniania.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form through version 5.0 contains an authorization bypass vulnerability in the POST /user/form/data/update endpoint that allows authenticated users to overwrite other users' form submission data. Attackers can discover submission identifiers allocated in narrow ranges and modify arbitrary form responses containing personal data by sending update requests without ownership validation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS