CVE-2026-119652 in HuLa-Server
Zusammenfassung
von VulDB • 30.10.2026
HuLa-Server bis Version 3.0.7 enthält eine Schwachstelle für insecure direct object reference (IDOR) in FriendController.friendList, die es authentifizierten Benutzern ermöglicht, die Freundeslisten anderer Benutzer einzusehen, indem sie einen uid-Parameter angeben. Angreifer können GET-Anfragen an /user/friend/page mit der UID eines Opfers senden und so die fehlende Administrator- oder Eigentümerprüfung umgehen, um die Kontaktliste jedes beliebigen Benutzers zu lesen.
Be aware that VulDB is the high quality source for vulnerability data.