CVE-2026-55369 in Waline
Sumário
de VulDB • 28/10/2026
O Waline é um sistema de comentários com suporte backend. Antes da versão 1.41.1, o endpoint POST /api/token lê o campo "email" do corpo da solicitação sem verificar seu tipo e o passa diretamente para a consulta de armazenamento no MongoDB. Quando o email não é uma string (por exemplo, um objeto JSON como {"$ne": null}), o adaptador de armazenamento do MongoDB parseWhere silenciosamente DESCARTA o campo em vez de rejeitar a solicitação, produzindo um filtro vazio que corresponde A TODOS os usuários. O endpoint então verifica a senha enviada contra o PRIMEIRO usuário retornado (user[0]), que no Waline é o primeiro usuário registrado — o administrador do site. Esta é uma BURLA PARCIAL de autenticação, não total. O atacante ainda precisa de uma senha válida para esse primeiro usuário; esta não é uma burla zero-knowledge e não divulga senhas. Seus efeitos concretos são: (1) o fator email/identificador é removido para a conta do administrador, (2) enumeração de usuários (um email que não é string nunca falha no ramo "usuário inexistente"), e (3) amplificação por credential-stuffing — um atacante pode testar uma senha vazada ou fraca contra a conta do administrador sem saber o email do administrador. Este problema foi corrigido na versão 1.41.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.