CVE-2026-80348 in TarsWeb
要約
〜によって VulDB • 2026年08月26日
TarsWebは、個々のコントローラーメソッドからAuthServiceを呼び出すことでアプリケーションごとのロールを適用していますが、app/controller/patch/PatchController.js内の4つのメソッドではそのような呼び出しが行われていません。uploadAndPublishはパッケージのアップロードを受け取り、その後、指定されたアプリケーション名とモジュール名に一致するすべてのサーバーに対してデプロイメントタスクを構築して実行します。一方、パッケージのみを保存し、開発者の認可チェックを行う兄弟機能であるuploadPatchPackageとは対照的です。uploadAndPublishが適用する唯一の前提条件は、名前付きサーバーが登録されていることであり、インストール内の任意の登録済みサーバーはこの条件を満たします。downloadPackageおよびdeletePatchPackageは、すべてのアプリケーションのアップロードをカバーするスコープなしのシーケンシャル主キーによってパッケージを選択し、setPatchPackageDefaultは特定のアプリケーションがデフォルトでデプロイするパッケージを変更します。したがって、単一の無関係なアプリケーションにスコープされたロールを持つアカウントを含む、認証済みアカウントであれば誰でも、コンソールが管理する任意のサーバーに対してパッケージをプッシュしてそのデプロイメントを発動させ、他の任意のアプリケーションのパッケージを取得または削除し、デフォルトでデプロイされるパッケージを変更することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.