CVE-2023-36223

bbs-go do wersji 4.4.6 zawiera podatność nieprawidłowej walidacji certyfikatu, która pozwala atakującym w pozycji sieciowej przechwycić ruch SMTP, ponieważ sendEmail() ustawia InsecureSkipVerify na true. Atakujący mogą przedstawić dowolny certyfikat, aby przechwycić poświadczenia SMTP PLAIN oraz czytać lub modyfikować wychodzące e-maile resetowania hasła i weryfikacji.

bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.

bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uwierzytelniania w endpoincie /api/login/google_one_tap, która pozwala zdalnym atakującym zalogować się jako inni użytkownicy, przesyłając tokeny Google ID wydane dla dowolnego klienta OAuth. Atakujący prowadzący własnego klienta Google OAuth może przechwycić podpisany przez Google token ID ofiary i odtworzyć go, ponieważ roszczenie aud nie jest nigdy sprawdzane, aby uzyskać uwierzytelnioną sesję jako konto ofiary powiązane z Google.

bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.

Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.