CVE-2026-119650 in HuLa-Server
要約
〜によって VulDB • 2026年10月30日
HuLa-Server 3.0.7 までは、PrivacyController にインセキュア・ダイレクト・オブジェクト・リファレンス (IDOR) の脆弱性が存在し、認証済みユーザーが uid を指定することで他のユーザーのプライバシー設定にアクセスできる。攻撃者は /privacy エンドポイントに対して GET または POST リクエストを送信し、対象となる uid パラメータを付与して、所有権チェックを行わずにそのユーザーの UserPrivacy 設定を読み取りおよび上書きすることができる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.