CVE-2026-71495
KrytyczneCVSS 10.0Streszczenie
W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać serwer jako proxy do sondowania sieci wewnętrznej i uzyskiwania dostępu do danych z usług wewnętrznych lub metadanych chmury. Może to prowadzić do wycieku informacji i zakłócenia działania usług.
Rekomendacja
Zaktualizuj Wanderer do wersji 0.20.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, ustaw PUBLIC_PRIVATE_INSTANCE na true i ogranicz dostęp sieciowy serwera do usług wewnętrznych.
Inne podatności w Wanderer
Zobacz wszystkie- CVE-2026-62346Wysokie
W Wanderer przed wersją 0.19.3 uwierzytelniony lokalny użytkownik może przesłać spreparowane wartości waypoint.name i waypoint.icon, które wykres wysokości trasy interpoluje do szablonu innerHTML w web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts bez kodowania HTML lub walidacji ikony. Ofiara przeglądająca profil wysokości wykonuje kontrolowany przez atakującego skrypt w swojej przeglądarce. Ponadto sfederowane waypointy mogą dostarczyć te same złośliwe pola między instancjami bez konieczności posiadania lokalnego konta na instancji odbierającej. Skrypt może ujawnić dane sesji lub wykonać działania w kontekście ofiary.
- CVE-2026-62345Wysokie
W Wanderer przed wersją 0.19.3 uwierzytelniony użytkownik może zapisać spreparowaną wartość waypoint.icon, którą createMarkerFromWaypoint() przekazuje do FontawesomeMarker, gdzie insertAdjacentHTML wstawia niezwalidowaną wartość do znacznika mapy. Otwarcie dotkniętej mapy trasy wykonuje kontrolowany przez atakującego skrypt w przeglądarce przeglądającego, co może ujawnić tokeny sesji lub wykonać działania jako ofiara. Sfederowane dane waypointów mogą również dotrzeć do tego miejsca bez lokalnego konta na instancji odbierającej.
- CVE-2026-62344Wysokie
Wanderer przed wersją 0.19.3 udostępnia nieuwierzytelnione endpointy GET /activitypub/trail/{id} i GET /activitypub/comment/{id}, które zwracają pełne rekordy szlaków i komentarzy bez stosowania reguł widoku kolekcji PocketBase. Atakujący mogący wyliczyć lub odgadnąć identyfikatory rekordów może pobrać prywatne nazwy szlaków, opisy, współrzędne GPS, adresy URL plików GPX i zdjęć oraz komentarze.
Oryginalny opis (angielski, źródło NVD)
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.20.0, when PUBLIC_PRIVATE_INSTANCE is not set to true, the unauthenticated POST /api/v1/trail/download handler passes the attacker-controlled JSON url field directly to event.fetch() and returns the fetched response. This allows requests to internal services such as db:8090 and search:7700, cloud metadata addresses, and other network destinations, exposing returned data and permitting internal network reconnaissance or denial of service. This issue is fixed in version 0.20.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS