CVE-2026-121452
ŚrednieCVSS 6.5Streszczenie
bbs-go do wersji 4.4.6 zawiera podatność nieprawidłowej walidacji certyfikatu, która pozwala atakującym w pozycji sieciowej przechwycić ruch SMTP, ponieważ sendEmail() ustawia InsecureSkipVerify na true. Atakujący mogą przedstawić dowolny certyfikat, aby przechwycić poświadczenia SMTP PLAIN oraz czytać lub modyfikować wychodzące e-maile resetowania hasła i weryfikacji.
Ocena ryzyka
Atakujący w sieci może przechwycić poświadczenia SMTP i manipulować wiadomościami e-mail, co może prowadzić do przejęcia kont i oszustw.
Rekomendacja
Zaktualizuj bbs-go do wersji nowszej niż 4.4.6 i upewnij się, że walidacja certyfikatów TLS jest włączona dla połączeń SMTP.
Inne podatności w bbs-go
Zobacz wszystkie- CVE-2026-103396Średnie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.
- CVE-2026-111639Wysokie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uwierzytelniania w endpoincie /api/login/google_one_tap, która pozwala zdalnym atakującym zalogować się jako inni użytkownicy, przesyłając tokeny Google ID wydane dla dowolnego klienta OAuth. Atakujący prowadzący własnego klienta Google OAuth może przechwycić podpisany przez Google token ID ofiary i odtworzyć go, ponieważ roszczenie aud nie jest nigdy sprawdzane, aby uzyskać uwierzytelnioną sesję jako konto ofiary powiązane z Google.
- CVE-2026-110103Średnie
bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.
- CVE-2023-36223Średnie
Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.
- CVE-2023-36222Średnie
Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.
Oryginalny opis (angielski, źródło NVD)
bbs-go through 4.4.6 contains an improper certificate validation vulnerability that allows network-positioned attackers to intercept SMTP traffic because sendEmail() sets InsecureSkipVerify to true. Attackers can present any certificate to capture SMTP PLAIN auth credentials and read or modify outgoing password-reset and verification emails.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS