CVE-2026-103396
ŚrednieCVSS 4.3Streszczenie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.
Ocena ryzyka
Atakujący może przeciążyć serwer, powodując niedostępność usługi, co może prowadzić do zakłóceń w działaniu aplikacji i strat finansowych.
Rekomendacja
Zaktualizuj bbs-go do wersji nowszej niż 4.4.6, jeśli dostępna jest poprawka.
Inne podatności w bbs-go
Zobacz wszystkie- CVE-2026-121452Średnie
bbs-go do wersji 4.4.6 zawiera podatność nieprawidłowej walidacji certyfikatu, która pozwala atakującym w pozycji sieciowej przechwycić ruch SMTP, ponieważ sendEmail() ustawia InsecureSkipVerify na true. Atakujący mogą przedstawić dowolny certyfikat, aby przechwycić poświadczenia SMTP PLAIN oraz czytać lub modyfikować wychodzące e-maile resetowania hasła i weryfikacji.
- CVE-2026-111639Wysokie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uwierzytelniania w endpoincie /api/login/google_one_tap, która pozwala zdalnym atakującym zalogować się jako inni użytkownicy, przesyłając tokeny Google ID wydane dla dowolnego klienta OAuth. Atakujący prowadzący własnego klienta Google OAuth może przechwycić podpisany przez Google token ID ofiary i odtworzyć go, ponieważ roszczenie aud nie jest nigdy sprawdzane, aby uzyskać uwierzytelnioną sesję jako konto ofiary powiązane z Google.
- CVE-2026-110103Średnie
bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.
- CVE-2023-36223Średnie
Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.
- CVE-2023-36222Średnie
Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.
Oryginalny opis (angielski, źródło NVD)
bbs-go through 4.4.6 contains a permission bypass vulnerability in the AdminMiddleware authorization logic where the read-only dashboard.user.view permission rule matches the /api/admin/user/synccount endpoint before the intended dashboard.user.update rule. Authenticated users with only view permissions can call the synccount endpoint to trigger expensive full-table user recounts and cache invalidations, causing denial of service through repeated concurrent database operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS