CVE-2025-65021

Podatność ujawnienia informacji w Rallly przed wersją 4.15.0 w procedurze tRPC polls.get, która zwraca nazwiska i adresy e-mail zaproszonych osób na zaplanowane wydarzenia nieuwierzytelnionym wywołującym. Atakujący mogą uzyskać identyfikator urlId ankiety z publicznych linków zaproszeń, aby pobrać wrażliwe informacje o zaproszonych, niezależnie od ustawień prywatności.

Wykryto wadę w lukevella rallly do wersji 4.7.4. Dotyczy ona nieznanej funkcji w pliku apps/web/src/app/[locale]/(auth)/reset-password/components/reset-password-form.tsx w komponencie Reset Password Handler. Manipulacja argumentem redirectTo prowadzi do cross site scripting, a atak można wykonać zdalnie.

Rallly to narzędzie do planowania i współpracy open-source. Przed wersją 4.5.6 podatność na ujawnienie informacji wystawia szczegóły uczestników, w tym nazwiska i adresy e-mail, przez endpoint /api/trpc/polls.get,polls.participants.list, nawet gdy włączone są funkcje prywatności Pro. To omija zamierzone mechanizmy prywatności, które powinny uniemożliwić uczestnikom przeglądanie danych osobowych innych użytkowników. Problem został naprawiony w wersji 4.5.6.

Rallly to narzędzie open-source do planowania i współpracy. Przed wersją 4.5.4 nieprawidłowa autoryzacja pozwala każdemu uwierzytelnionemu użytkownikowi na ponowne otwarcie zakończonych ankiet innych użytkowników poprzez manipulację parametrem pollId.

Rallly to narzędzie open-source do planowania i współpracy. Przed wersją 4.5.4 błąd autoryzacji w zarządzaniu ankietami pozwala każdemu uwierzytelnionemu użytkownikowi wstrzymać lub wznowić dowolną ankietę, niezależnie od jej właściciela, ponieważ system identyfikuje ankiety tylko po publicznym pollId.

Rallly, narzędzie do planowania i współpracy, w wersjach przed 4.5.4 ma podatność IDOR (Insecure Direct Object Reference). Umożliwia ona każdemu uwierzytelnionemu użytkownikowi zmianę nazw wyświetlanych innych uczestników ankiet bez uprawnień administratora lub właściciela ankiety.

Rallly to narzędzie do planowania i współpracy. Przed wersją 4.5.4 w punkcie tworzenia komentarzy występuje błąd autoryzacji, który pozwala uwierzytelnionym użytkownikom podszyć się pod innego użytkownika poprzez zmianę pola authorName w żądaniu API.

Rallly to open-sourceowe narzędzie do planowania i współpracy. Przed wersją 4.5.4 błąd autoryzacji w API usuwania komentarzy pozwala każdemu uwierzytelnionemu użytkownikowi na usuwanie komentarzy należących do innych użytkowników, w tym właścicieli ankiet i administratorów.

Rallly to narzędzie open-source do planowania i współpracy. Przed wersją 4.5.4 podatność IDOR (niezabezpieczone bezpośrednie odwołanie do obiektu) pozwala każdemu uwierzytelnionemu użytkownikowi usuwać dowolnych uczestników ankiet bez weryfikacji właściciela, opierając się wyłącznie na identyfikatorze uczestnika.

Rallly w wersjach przed 4.5.4 ma podatność IDOR, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować głosy innych uczestników ankiet bez autoryzacji. Backend opiera się wyłącznie na parametrze participantId, nie weryfikując własności ani uprawnień do ankiety.