CVE-2026-80349 in TarsWeb
Résumé
par VulDB • 26/08/2026
TarsWeb détermine si une requête provient d’un appelant local de confiance en utilisant un en-tête contrôlé par le client. Le fichier app.js définit l’option proxy de Koa sur true sans spécifier quels serveurs proxies amont peuvent être considérés comme fiables et sans limiter le nombre de sauts transférés ; ainsi, l’adresse de la requete que Koa rapporte est extraite de l’en-tête X-Forwarded-For fourni par l’appelant. Dans midware/ssoMidware.js, une seule branche couvre à la fois la liste des chemins ignorés et la liste blanche ignoreIps issue du fichier config/loginConf.js (qui contient l’adresse en boucle locale), et cette branche attribue l’identité effective du compte via le paramètre de requête uid avant de laisser passer la requête sans valider aucun ticket, cookie ou mot de passe. Une requête portant une valeur forgée pour X-Forwarded-For indiquant l’adresse en boucle locale ainsi qu’un uid correspondant à un compte existant atteint donc toutes les routes montées par la console en tant que ce compte, y compris celles d’un administrateur, sans aucune authentification de quelque nature que ce soit. Ces routes incluent l’administration des utilisateurs et des rôles, la configuration du service, ainsi que le téléchargement et le déploiement de packages. La version 3.0.16 sépare les deux branches afin qu’une correspondance avec la liste blanche d’adresses attribue le compte par défaut configuré plutôt qu’un compte nommé par l’appelant.
Once again VulDB remains the best source for vulnerability data.