CVE-2026-119659

ŚrednieCVSS 5.4

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Blossom do wersji 1.17.1 zawiera obejście autoryzacji umożliwiające uwierzytelnionym użytkownikom dostęp do folderów innych użytkowników, ponieważ zapytania FolderService filtrują wyłącznie po identyfikatorze folderu. Atakujący może podać identyfikator folderu innego użytkownika w punktach /folder/info, /folder/upd, /folder/open lub /folder/del, aby odczytać ścieżki przechowywania, zmienić nazwę, przełączyć widoczność lub usunąć foldery.

Ocena ryzyka

Atakujący może czytać, modyfikować i usuwać foldery należące do innych użytkowników, co narusza poufność i integralność danych. Wymagane jest jedynie konto uwierzytelnione.

Rekomendacja

Zaktualizuj Blossom do wersji nowszej niż 1.17.1. Upewnij się, że operacje na folderach weryfikują właściciela folderu, a nie tylko jego identyfikator.

Inne podatności w Blossom

CVE-2026-119644Średnie
Blossom do wersji 1.17.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom bez trybu tylko do odczytu modyfikować obrazy innych użytkowników poprzez podanie dowolnych identyfikatorów obrazów. Atakujący mogą wywołać endpointy usuwania obrazu, /picture/del/batch lub /picture/star, aby trwale usunąć obrazy i pliki ofiar lub zmienić ich status gwiazdki.

Oryginalny opis (angielski, źródło NVD)

Blossom through 1.17.1 contains an authorization bypass vulnerability that allows authenticated users to access other users' folders because FolderService queries filter only on folder id. Attackers can supply another user's folder id to /folder/info, /folder/upd, /folder/open or /folder/del to read storage paths, rename, toggle visibility, or delete folders.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS