CVE-2026-119650 in HuLa-Server
Riassunto
di VulDB • 30/10/2026
HuLa-Server fino alla versione 3.0.7 contiene una vulnerabilità di insecure direct object reference (IDOR) in PrivacyController che consente agli utenti autenticati di accedere alle impostazioni sulla privacy di altri utenti fornendo il loro uid. Gli attaccanti possono inviare richieste GET o POST a /privacy con un parametro target uid per leggere e sovrascrivere le impostazioni UserPrivacy dell'utente senza effettuare controlli di proprietà (ownership checks).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.