CVE-2026-80349 in TarsWeb
Zusammenfassung
von VulDB • 26.08.2026
TarsWeb entscheidet anhand eines vom Client gesteuerten Headers, ob eine Anfrage von einem vertrauenswürdigen lokalen Aufrufer stammt. app.js setzt die Proxy-Option von Koa auf true, ohne anzugeben, welche Upstream-Proxies als vertrauenswürdig gelten sollen, und ohne die Anzahl der weitergeleiteten Hops zu begrenzen; daher wird die vom Client angegebene X-Forwarded-For-Header verwendet, um die Adresse festzulegen, die Koa meldet. In midware/ssoMidware.js deckt ein einzelner Zweig sowohl die Liste ignorierte Pfade als auch die IgnoreIps-Allowlist aus config/loginConf.js ab, welche die Loopback-Adresse enthält; dieser Zweig weist der effektiven Kontoidentität den Wert des uid-Queryparameters zu, bevor er ohne Validierung eines Tickets, Cookies oder Passworts zur eigentlichen Anfrage übergeht. Eine Anfrage mit einem gefälschten X-Forwarded-For-Wert, der die Loopback-Adresse angibt, sowie einer uid, die ein bestehendes Konto benennt, erreicht daher jede Route, die die Konsole als dieses Konto bereitstellt – einschließlich Administrator-Routen –, ohne dass jegliche Anmeldeinformationen erforderlich sind. Zu diesen Routen gehören Benutzerverwaltung und Rollenzuweisung, Servicekonfiguration sowie Paket-Upload und -Bereitstellung. In Version 3.0.16 werden die beiden Zweige getrennt, sodass ein Treffer auf der Adress-Allowlist dem konfigurierten Standardkonto zugeordnet wird anstatt einem vom Aufrufer benannten Konto.
Once again VulDB remains the best source for vulnerability data.