CVE-2026-73039
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
streama ma podatność typu insecure direct object reference w ViewingStatusController, która pozwala uwierzytelnionym użytkownikom na odczyt i usuwanie rekordów statusu oglądania innych użytkowników. Atakujący mogą enumerować postęp oglądania wszystkich użytkowników, usuwać dowolną historię oglądania i manipulować dashboardem Continue Watching innych użytkowników, podając dowolne klucze podstawowe bez weryfikacji własności.
Ocena ryzyka
Atakujący może naruszyć prywatność użytkowników, usunąć ich historię oglądania i manipulować ich doświadczeniem, co może prowadzić do utraty zaufania i niezadowolenia.
Rekomendacja
Zaktualizuj streama do wersji z poprawką. Wdróż kontrolę dostępu opartą na własności zasobów i waliduj, czy użytkownik ma prawo do operacji na danym rekordzie.
Oryginalny opis (angielski, źródło NVD)
streama contains an insecure direct object reference vulnerability in ViewingStatusController that allows authenticated users to read and delete other users' viewing status records. Attackers can enumerate all users' watch progress, delete arbitrary viewing history, and manipulate other users' Continue Watching dashboards by supplying arbitrary primary keys without ownership verification.