CVE-2026-62277
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W LubeLogger przed wersją 1.6.8 funkcja `PrintRecordStickers` sprawdza uprawnienia do podanego `vehicleId`, ale pobiera rekordy o identyfikatorach `recordIds` bez weryfikacji, czy należą one do autoryzowanego pojazdu. Uwierzytelniony użytkownik może w ten sposób uzyskać rekordy innych użytkowników z wielu modułów serwisu.
Ocena ryzyka
Możliwe jest ujawnienie danych serwisowych, kosztów, notatek, przebiegu i metadanych załączników innych użytkowników. Narusza to poufność danych i może prowadzić do wycieku informacji między kontami.
Rekomendacja
Zaktualizuj LubeLogger do wersji 1.6.8 lub nowszej. Do czasu aktualizacji ogranicz dostęp do endpointu `POST /Vehicle/PrintRecordStickers`.
Inne podatności w LubeLogger
Zobacz wszystkie- CVE-2026-62279Wysokie
LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionemu użytkownikowi przesłać kontrolowane identyfikatory rekordów do endpointu DuplicateRecordsToOtherVehicles, wskazując docelowe pojazdy, które może edytować. Endpoint autoryzuje pojazdy docelowe, ale pobiera rekordy źródłowe bez sprawdzania uprawnień do pojazdu źródłowego, co umożliwia kopiowanie rekordów należących do innego użytkownika do pojazdu kontrolowanego przez atakującego.
- CVE-2026-62278Wysokie
LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionym użytkownikom niebędącym administratorami wpływać na nazwę przekazywaną do funkcji RenameFile, która buduje nową ścieżkę bez weryfikacji, czy rozwiązana ścieżka bezwzględna pozostaje w katalogu web root lub data. Spreparowana nazwa przesyłanego pliku może przenieść plik poza zamierzony katalog przechowywania.
Oryginalny opis (angielski, źródło NVD)
LubeLogger is a self-hosted, open-source, web-based vehicle maintenance and fuel mileage tracker. Prior to 1.6.8, `PrintRecordStickers` in `/Controllers/VehicleController.cs` checks through `CollaboratorFilter` that the authenticated caller can view the supplied `vehicleId`, but fetches caller-supplied `recordIds` without checking that each record's `VehicleId` belongs to the authorized vehicle. An authenticated user can submit `POST /Vehicle/PrintRecordStickers` with an authorized `vehicleId`, enumerate other users' integer record IDs and select an `ImportMode` to retrieve records across the service, gas, repair, upgrade, tax, supply, note, odometer, reminder, plan, inspection and equipment stores. Returned information includes descriptions, costs, notes, mileage, extra fields and file attachment metadata, allowing cross-user disclosure of vehicle maintenance records. This issue is fixed in version 1.6.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS