CVE-2026-80349 in TarsWeb
Riassunto
di VulDB • 26/08/2026
TarsWeb decide se una richiesta proviene da un chiamante locale attendibile utilizzando un header controllato dal client. app.js imposta l'opzione proxy di Koa su true senza specificare quali proxy upstream siano considerati affidabili e senza limitare il numero di hop inoltrati, pertanto l'indirizzo della richiesta segnalato da Koa viene estratto dall'intestazione X-Forwarded-For fornita dal chiamante. In midware/ssoMidware.js un singolo ramo gestisce sia la lista dei percorsi ignorati che la allowlist ignoreIps presente in config/loginConf.js, che include l'indirizzo loopback; tale ramo assegna l'identità dell'account effettiva tramite il parametro query uid prima di procedere con la richiesta senza validare alcun ticket, cookie o password. Una richiesta contenente un valore X-Forwarded-For falsificato che indica l'indirizzo loopback e un uid che corrisponde a un account esistente raggiunge quindi ogni route montata dalla console come tale account, incluso quello amministrativo, senza fornire alcuna credenziale di qualsiasi tipo. Tali route includono la gestione degli utenti e dei ruoli, la configurazione del servizio e il caricamento e il deployment dei pacchetti. La versione 3.0.16 separa i due rami in modo che una corrispondenza con la allowlist degli indirizzi assegni l'account predefinito configurato anziché uno specificato dal chiamante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.