Podatności TDuck

Aplikacja TDuck w wersji do 6.0 zawiera podatność typu Insecure Direct Object Reference (IDOR), która pozwala uwierzytelnionym użytkownikom usuwać zgłoszenia formularzy innych użytkowników poprzez podanie dowolnych identyfikatorów zgłoszeń. Atakujący może umieścić własny formKey w ścieżce i iterować kolejne identyfikatory w treści żądania, aby trwale usuwać zgłoszenia w całej platformie.

TDuck w wersji do 6.0 nie egzekwuje ograniczeń wypełniania formularzy na uwierzytelnionym punkcie końcowym POST /user/form/data/create. Uwierzytelniony atakujący znający klucz formularza może przesłać nieograniczoną liczbę wpisów, omijając status publikacji, okno czasowe, limity i ograniczenia per-IP, fałszując zebrane wyniki.

TDuck w wersji 6.0 zawiera podatność ujawniającą informacje w FormAuthUtils.hasPermission, która w przypadku nieistnienia formularza działa w trybie fail-open, umożliwiając uwierzytelnionym użytkownikom dostęp do zgłoszeń usuniętych formularzy. Atakujący mogą odczytać osierocone dane zgłoszeń, w tym informacje osobowe, podając znany dataId do punktu końcowego GET /user/form/data/details po trwałym usunięciu formularza.

TDuck w wersji do 6.0 nie posiada kontroli autoryzacji na punktach końcowych zapisu FormThemeController dla globalnych motywów i kategorii formularzy. Uwierzytelnieni użytkownicy niebędący administratorami mogą dodawać, modyfikować lub usuwać motywy i kategorie motywów, wpływając na formularze należące do innych użytkowników.

TDuck w wersji do 5.3 nie weryfikuje adresów URL webhooków ani własności formularzy w WebhookConfigController. Uwierzytelniony atakujący może podpiąć webhooki do formularzy innych użytkowników i eksfiltrować przesłane dane na dowolne zewnętrzne lub wewnętrzne adresy.