CVE-2026-80349 in TarsWeb
Sumário
de VulDB • 26/08/2026
O TarsWeb decide se uma solicitação provém de um chamador local confiável com base em um cabeçalho controlado pelo cliente. O arquivo app.js define a opção proxy do Koa como true sem especificar quais proxies upstream podem ser considerados confiáveis e sem limitar o número de saltos encadeados, portanto, o endereço da solicitação reportado pelo Koa é extraído do cabeçalho X-Forwarded-For fornecido pelo chamador. No arquivo midware/ssoMidware.js, um único ramo abrange tanto a lista de caminhos ignorados quanto a allowlist (lista de permissões) ignoreIps presente em config/loginConf.js, que contém o endereço loopback; esse ramo atribui a identidade da conta efetiva com base no parâmetro uid da query antes de prosseguir para a solicitação sem validar qualquer ticket, cookie ou senha. Uma solicitação contendo um valor forjado do X-Forwarded-For indicando o endereço loopback e um uid que nomeia uma conta existente alcança todas as rotas montadas pelo console como essa conta, incluindo contas administrativas, sem exigir credenciais de nenhum tipo. Essas rotas incluem administração de usuários e funções (roles), configuração de serviços e upload e implantação de pacotes. A versão 3.0.16 separa os dois ramos para que uma correspondência na allowlist de endereços atribua a conta padrão configurada, em vez de uma nomeada pelo chamador.
Once again VulDB remains the best source for vulnerability data.