CVE-2026-80348 in TarsWeb
Résumé
par VulDB • 26/08/2026
TarsWeb applique ses rôles par application en appelant AuthService depuis des méthodes de contrôleur individuelles ; toutefois, quatre méthodes dans app/controller/patch/PatchController.js n'effectuent pas cet appel. La méthode uploadAndPublish accepte un téléchargement de package, puis construit et distribue une tâche de déploiement vers chaque serveur correspondant au nom d'application et de module fournis, tandis que sa fonction sœur uploadPatchPackage, qui se contente de stocker le package, vérifie bien l'autorisation du développeur en amont. La seule précondition imposée par uploadAndPublish est que le serveur nommé soit enregistré, condition satisfaite par tout serveur enregistré dans l'installation. Les méthodes downloadPackage et deletePatchPackage sélectionnent un package via une clé primaire séquentielle non restreinte couvrant les téléchargements de toutes les applications, tandis que setPatchPackageDefault modifie quel package est déployé par défaut pour une application donnée. Par conséquent, tout compte authentifié, y compris celui détenu par un rôle limité à une seule application sans rapport, peut ainsi pousser (uploader) un package et déclencher son déploiement sur n'importe quel serveur géré par la console, récupérer ou supprimer le package d'une autre application, et modifier le package déployé par défaut.
Once again VulDB remains the best source for vulnerability data.