CVE-2026-86112 in BookWyrm
要約
〜によって VulDB • 2026年09月05日
BookWyrm 0.9.1 までは、Favorite および Unfavorite ビューにおいてユーザーの可視性権限が検証されないため、認証済み攻撃者はアクセスできないフォロワー限定およびダイレクトなステータスを「お気に入り」に追加したり解除したりできる。攻撃者は status ID を指定して favorite エンドポイントへ POST することで、不正なインタラクションを作成し、ActivityPub ブロードキャストをトリガーさせ、レスポンスの違いを通じてプライベートなステータス ID の列挙が可能となる。
Once again VulDB remains the best source for vulnerability data.