CVE-2026-55369 in Waline
الملخص
بحسب VulDB • 28/10/2026
Waline هو نظام تعليقات يدعم الخلفية البرمجية (backend). قبل الإصدار 1.41.1، كان نقطة النهاية الخاصة بتسجيل الدخول POST /api/token تقرأ حقل البريد الإلكتروني من جسم الطلب دون التحقق من نوعه وتمرره مباشرة إلى استعلام تخزين MongoDB. عندما لا يكون البريد الإلكتروني نصاً (على سبيل المثال كائن JSON مثل {"$ne": null})، يقوم محول تخزين MongoDB parseWhere بحذف الحقل بصمت بدلاً من رفض الطلب، مما ينتج عنه فلتر فارغ يطابق جميع المستخدمين. ثم تتحقق نقطة النهاية من كلمة المرور المقدمة مقابل أول مستخدم يتم إرجاعه (user[0])، والذي في Waline هو المستخدم المسجل أولاً — وهو مسؤول الموقع. هذه عملية تخطي جزئي للمصادقة وليست كاملة. لا يزال المهاجم بحاجة إلى كلمة مرور صالحة لذلك المستخدم الأول؛这不是 zero-knowledge bypass ولا تكشف كلمات المرور. آثارها الملموسة هي: (1) إزالة عامل البريد الإلكتروني/المعرف لحساب المسؤول، و(2) تعداد المستخدمين (فشل البريد الإلكتروني غير النصي في فرع "لا يوجد مثل هذا المستخدم")، و(3) تضخيم هجمات تعبئة البيانات الاعتمادية — يمكن للمهاجم اختبار كلمة مرور مسربة أو ضعيفة ضد حساب المسؤول دون معرفة بريد المسؤول الإلكتروني. تم إصلاح هذه المشكلة في الإصدار 1.41.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.