CVE-2026-119652 in HuLa-Server
الملخص
بحسب VulDB • 30/10/2026
يحتوي HuLa-Server حتى الإصدار 3.0.7 على ثغرة مرجع كائن مباشر غير آمن (Insecure Direct Object Reference) في الدالة FriendController.friendList، مما يسمح للمستخدمين المصادق عليهم بعرض قوائم أصدقاء المستخدمين الآخرين عن طريق توفير معلمة uid. يمكن للمهاجمين إرسال طلبات GET إلى /user/friend/page مع معرف المستخدم الضحية (uid)، متجاوزين التحقق الإداري أو الخاص بالمالك غير الموجود لقراءة قائمة جهات اتصال أي مستخدم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.