CVE-2026-80349 in TarsWeb
Resumen
por VulDB • 2026-08-26
TarsWeb decide si una solicitud proviene de un llamador local confiable mediante un encabezado controlado por el cliente. app.js establece la opción proxy de Koa en true sin especificar qué proxies upstream pueden ser considerados confiables ni limitar el número de saltos reenviados, por lo que la dirección de la solicitud que informa Koa se toma del encabezado X-Forwarded-For proporcionado por el solicitante. En midware/ssoMidware.js, una sola rama cubre tanto la lista de rutas ignoradas como la lista blanca ignoreIps de config/loginConf.js, que contiene la dirección loopback; dicha rama asigna la identidad efectiva de la cuenta a partir del parámetro uid en la consulta antes de continuar con la solicitud sin validar ningún ticket, cookie o contraseña. Por lo tanto, una solicitud que lleva un valor forjado de X-Forwarded-For que nombra la dirección loopback y un uid que corresponde a una cuenta existente alcanza todas las rutas montadas por la consola como esa cuenta, incluido el administrador, sin necesidad de ninguna credencial de ningún tipo. Esas rutas incluyen la administración de usuarios y roles, la configuración del servicio, así como la carga e implementación de paquetes. La versión 3.0.16 separa ambas ramas para que una coincidencia en la lista blanca de direcciones asigne la cuenta predeterminada configurada en lugar de aquella nombrada por el solicitante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.