Podatności Spacebar Server

Spacebar Server przed commit 8d126f4 zawiera podatność na usuwanie wiadomości między kanałami w handlerach usuwania pojedynczych i masowych wiadomości, które nie ograniczają zapytań do żądanego kanału. Uwierzytelnieni użytkownicy z uprawnieniami MANAGE_MESSAGES w dowolnym kontrolowanym kanale mogą usuwać dowolne wiadomości w innych kanałach, kierując żądania usunięcia przez własny kanał.

Spacebar Server przed commit 51da17c zawiera podatność polegającą na braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na wyliczenie pełnego członkostwa w gildii poprzez zapytanie do endpointu GET /guilds/{guild_id}/roles/{role_id}/member-ids bez weryfikacji członkostwa w gildii.

Spacebar Server przed commit dcfd910 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu atakującemu dodać siebie do dowolnych grupowych kanałów DM poprzez wysłanie żądania PUT do punktu końcowego odbiorców kanału bez weryfikacji członkostwa. Atakujący mogą dołączyć do prywatnych grupowych DM, czytać pełną historię wiadomości, publikować wiadomości jako uczestnik oraz dodawać osoby trzecie bez ich zgody.