Podatności Waline

W Waline w wersjach 3.15.2 i wcześniejszych widget @waline/client UserList buduje DOM, konkatenując pola komentatora zwrócone przez serwer bezpośrednio do root.innerHTML bez escapowania HTML. Pola nick i link są przechowywane i zwracane dosłownie (sanityzowana jest tylko treść komentarza), a link nie trafia do filtra spamu, więc nieuwierzytelniony odwiedzający może uzyskać przechowywany XSS wykonujący się bez interakcji u każdego odwiedzającego stronę z widgetem UserList.

W Waline w wersjach 3.15.2 i wcześniejszych klient @waline/client renderuje podgląd edytora komentarzy za pomocą marked bez sanityzacji i wstrzykuje go przez v-html. Podczas edycji komentarza edytor jest wypełniany surową, niesanityzowaną treścią, więc administrator klikający Edytuj na komentarzu atakującego renderuje surowy HTML w swojej sesji, co prowadzi do przechowywanego XSS i eskalacji uprawnień.

Waline to system komentarzy z obsługą backendu. Przed wersją 1.41.1 endpoint logowania POST /api/token odczytuje pole email z treści żądania bez sprawdzania jego typu i przekazuje je bezpośrednio do zapytania MongoDB. Gdy email nie jest ciągiem znaków (np. obiekt JSON {"$ne": null}), adapter MongoDB po cichu pomija pole, tworząc pusty filtr pasujący do wszystkich użytkowników, a hasło jest weryfikowane względem pierwszego użytkownika (administratora). Jest to częściowe obejście uwierzytelniania, które usuwa czynnik email dla konta administratora, umożliwia enumerację użytkowników i amplifikację credential-stuffing.