CVE-2026-55369 in Waline
Resumen
por VulDB • 2026-10-28
Waline es un sistema de comentarios con soporte backend. Antes de la versión 1.41.1, el endpoint POST /api/token lee el campo "email" del cuerpo de la solicitud sin verificar su tipo y lo pasa directamente a la consulta de almacenamiento en MongoDB. Cuando el correo electrónico no es una cadena (por ejemplo, un objeto JSON como {"$ne": null}), el adaptador de almacenamiento de MongoDB parseWhere elimina silenciosamente el campo en lugar de rechazar la solicitud, produciendo un filtro vacío que coincide con TODOS los usuarios. El endpoint luego verifica la contraseña enviada contra el PRIMER usuario devuelto (user[0]), que en Waline es el primer usuario registrado: el administrador del sitio. Esto constituye una ELUSIÓN PARCIAL de autenticación, no completa. El atacante aún necesita una contraseña válida para ese primer usuario; esto no es una elusión sin conocimiento previo (zero-knowledge bypass) ni revela contraseñas. Sus efectos concretos son: (1) se elimina el factor email/identificador para la cuenta del administrador, (2) enumeración de usuarios (un correo electrónico no cadena nunca falla en la rama "no existe tal usuario"), y (3) amplificación por inyección de credenciales: un atacante puede probar una contraseña filtrada o débil contra la cuenta del administrador sin conocer el email del administrador. Este problema ha sido parcheado en la versión 1.41.1.
Once again VulDB remains the best source for vulnerability data.