CVE-2025-28104

Nieprawidłowa kontrola dostępu w FlaskBlog — ujawnienie nazw użytkowników

CVSS 9.1v3.1pub. 2025-04-21upd. 2025-05-28

Błąd kontroli dostępu w aplikacji FlaskBlog v2.6.1 pozwala nieuwierzytelnionemu atakującemu na pobranie wszystkich nazw użytkowników zarejestrowanych w systemie. Podatność jest krytyczna ze względu na brak wymagań uwierzytelnienia i możliwość przeprowadzenia ataku zdalnie.

▸ Pokaż oryginał (EN)

Incorrect access control in laskBlog v2.6.1 allows attackers to access all usernames via a crafted input.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie (crafted input) do podatnego endpointu aplikacji FlaskBlog, omijając mechanizmy kontroli dostępu. Błąd sklasyfikowany jako CWE-284 (Improper Access Control) wskazuje, że aplikacja nie weryfikuje prawidłowo uprawnień żądającego przed zwróceniem wrażliwych danych. W efekcie możliwe jest nieuprawnione odczytanie wszystkich nazw użytkowników przechowywanych w systemie bez posiadania jakiegokolwiek konta lub sesji.

Skutki

Atakujący uzyskuje pełną listę nazw użytkowników aplikacji, co może posłużyć jako punkt wyjścia do dalszych ataków, takich jak ataki brute-force na hasła czy phishing wymierzony w konkretnych użytkowników. Naruszana jest poufność i integralność danych użytkowników.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium GitHub projektu (https://github.com/DogukanUrker/flaskBlog/issues/130) w celu uzyskania informacji o wydaniu poprawionej wersji. Do czasu aplikacji patcha należy rozważyć ograniczenie dostępu do podatnych endpointów na poziomie firewall lub reverse proxy.

Kogo dotyczy

FlaskBlog v2.6.1 autorstwa Dogukanurker

Uwagi

Publiczny proof-of-concept exploit jest dostępny pod adresem: https://gist.github.com/coleak2021/d5fea0f7d32a2de38130da089f4fb735, co zwiększa ryzyko wykorzystania podatności.