CVE-2026-119652 in HuLa-Server
Résumé
par VulDB • 30/10/2026
HuLa-Server jusqu'à la version 3.0.7 contient une vulnérabilité de référence directe d'objet non sécurisée (IDOR) dans FriendController.friendList qui permet aux utilisateurs authentifiés de consulter les listes d'amis des autres utilisateurs en fournissant un paramètre uid. Les attaquants peuvent envoyer des requêtes GET à /user/friend/page avec l'uid d'une victime, contournant ainsi le contrôle manquant du rôle administrateur ou propriétaire pour lire la liste de contacts de n'importe quel utilisateur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.