CVE-2026-62344
WysokieCVSS 7.5Streszczenie
Wanderer przed wersją 0.19.3 udostępnia nieuwierzytelnione endpointy GET /activitypub/trail/{id} i GET /activitypub/comment/{id}, które zwracają pełne rekordy szlaków i komentarzy bez stosowania reguł widoku kolekcji PocketBase. Atakujący mogący wyliczyć lub odgadnąć identyfikatory rekordów może pobrać prywatne nazwy szlaków, opisy, współrzędne GPS, adresy URL plików GPX i zdjęć oraz komentarze.
Ocena ryzyka
Prywatne dane szlaków, w tym lokalizacje GPS i pliki GPX, mogą wyciec do nieuwierzytelnionych atakujących, naruszając prywatność użytkowników i poufność danych.
Rekomendacja
Zaktualizuj Wanderer do wersji 0.19.3 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointów ActivityPub.
Inne podatności w Wanderer
Zobacz wszystkie- CVE-2026-62346Wysokie
W Wanderer przed wersją 0.19.3 uwierzytelniony lokalny użytkownik może przesłać spreparowane wartości waypoint.name i waypoint.icon, które wykres wysokości trasy interpoluje do szablonu innerHTML w web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts bez kodowania HTML lub walidacji ikony. Ofiara przeglądająca profil wysokości wykonuje kontrolowany przez atakującego skrypt w swojej przeglądarce. Ponadto sfederowane waypointy mogą dostarczyć te same złośliwe pola między instancjami bez konieczności posiadania lokalnego konta na instancji odbierającej. Skrypt może ujawnić dane sesji lub wykonać działania w kontekście ofiary.
- CVE-2026-62345Wysokie
W Wanderer przed wersją 0.19.3 uwierzytelniony użytkownik może zapisać spreparowaną wartość waypoint.icon, którą createMarkerFromWaypoint() przekazuje do FontawesomeMarker, gdzie insertAdjacentHTML wstawia niezwalidowaną wartość do znacznika mapy. Otwarcie dotkniętej mapy trasy wykonuje kontrolowany przez atakującego skrypt w przeglądarce przeglądającego, co może ujawnić tokeny sesji lub wykonać działania jako ofiara. Sfederowane dane waypointów mogą również dotrzeć do tego miejsca bez lokalnego konta na instancji odbierającej.
- CVE-2026-71495Krytyczne
W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.19.3, the unauthenticated GET /activitypub/trail/{id} and GET /activitypub/comment/{id} endpoints call ActivitypubTrail() and ActivitypubComment() to return full trail and comment records without applying the PocketBase collection view rules. An attacker who can enumerate or guess record IDs can retrieve private trail names, descriptions, GPS coordinates, GPX file URLs, photo URLs, and comments. This issue is fixed in version 0.19.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS