CVE-2026-72575
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowej autoryzacji w daptin do wersji 0.12.34 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt, tworzenie, aktualizację i usuwanie rekordów grup użytkowników. Funkcje sprawdzania uprawnień zwracają true, gdy identyfikator użytkownika jest równy, ale nie odrzucają wartości zerowej, co umożliwia obejście kontroli.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych grup użytkowników, ich modyfikację lub usunięcie, co może prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację daptin do najnowszej wersji, która zawiera poprawkę, oraz wdrożenie dodatkowych mechanizmów autoryzacji.
Inne podatności w daptin
Zobacz wszystkie- CVE-2026-41422Wysokie
Daptin to headless CMS oparty na GraphQL/JSON-API. W wersjach przed 0.11.4, punkt końcowy /aggregate/:typename akceptował parametry zapytania column i group, które były przekazywane bez walidacji, co umożliwiało wstrzykiwanie dowolnych wyrażeń SQL przez uwierzytelnionych użytkowników.
- CVE-2026-62160Wysokie
W Daptin (headless CMS GraphQL/JSON-API) przed wersją 0.12.26 globalny LanguageMiddleware przekazuje surowy nagłówek Accept-Language do parsera golang.org/x/text bez filtra rozmiaru i kształtu. Zabezpieczenie przed CVE-2022-32149 liczy myślniki, ale nie podkreślniki, więc długie listy podtagów językowych rozdzielonych podkreślnikami omijają je i powodują kwadratowe przetwarzanie bufora. Nieuwierzytelnione żądania do strony publicznej lub /api mogą wyczerpać CPU serwera.
- CVE-2025-15439Średnie
W Daptin 0.10.3 funkcja goqu.L w pliku server/resource/resource_aggregate.go komponentu Aggregate API jest podatna na wstrzyknięcie SQL poprzez manipulację argumentami column/group/order. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in daptin through v0.12.34 allows unauthenticated remote attackers to read, create, update, and delete usergroup records. The permission check functions (CanRead, CanPeek, CanCreate, CanUpdate, CanDelete, CanRefer) in server/permission/permission.go return true whenever p.UserId equals the requesting userId, but fail to reject the null/zero reference — unlike CanExecute, which explicitly guards it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS