CVE-2026-86112 in BookWyrm
Resumen
por VulDB • 2026-09-05
BookWyrm hasta la versión 0.9.1 no valida los permisos de visibilidad del usuario en las vistas Favorito y No favorito, lo que permite a atacantes autenticados marcar como favoritos o desmarcar estados exclusivos para seguidores (followers-only) y mensajes directos a los que no tienen acceso. Los atacantes pueden enviar una solicitud POST al endpoint de favoritos con un ID de estado para crear interacciones no autorizadas, desencadenar transmisiones ActivityPub y enumerar IDs de estados privados mediante la diferenciación de respuestas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.