Podatności bbs-go

bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.

Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.

Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.