CVE-2026-92602
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.
Ocena ryzyka
Dane przesyłane przez formularze mogą wyciekać do niepowołanych odbiorców, co prowadzi do naruszenia poufności i potencjalnych konsekwencji prawnych. Atakujący może też wykorzystać webhooki do skanowania zasobów wewnętrznych.
Rekomendacja
Zaktualizuj TDuck do wersji nowszej niż 5.3, która zawiera walidację adresów webhooków i weryfikację własności formularzy. Do czasu aktualizacji ogranicz możliwość konfiguracji webhooków do zaufanych użytkowników.
Inne podatności w TDuck
Zobacz wszystkie- CVE-2026-100305Średnie
TDuck w wersji do 6.0 nie egzekwuje ograniczeń wypełniania formularzy na uwierzytelnionym punkcie końcowym POST /user/form/data/create. Uwierzytelniony atakujący znający klucz formularza może przesłać nieograniczoną liczbę wpisów, omijając status publikacji, okno czasowe, limity i ograniczenia per-IP, fałszując zebrane wyniki.
- CVE-2026-100304Średnie
TDuck w wersji 6.0 zawiera podatność ujawniającą informacje w FormAuthUtils.hasPermission, która w przypadku nieistnienia formularza działa w trybie fail-open, umożliwiając uwierzytelnionym użytkownikom dostęp do zgłoszeń usuniętych formularzy. Atakujący mogą odczytać osierocone dane zgłoszeń, w tym informacje osobowe, podając znany dataId do punktu końcowego GET /user/form/data/details po trwałym usunięciu formularza.
- CVE-2026-100303Średnie
TDuck w wersji do 6.0 nie posiada kontroli autoryzacji na punktach końcowych zapisu FormThemeController dla globalnych motywów i kategorii formularzy. Uwierzytelnieni użytkownicy niebędący administratorami mogą dodawać, modyfikować lub usuwać motywy i kategorie motywów, wpływając na formularze należące do innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
TDuck survey form through version 5.3 fails to validate webhook URLs or verify form ownership in the WebhookConfigController. Authenticated attackers can attach webhooks to other users' forms and exfiltrate submissions to arbitrary external or internal addresses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS