CVE-2026-80349 in TarsWeb
Сводка
по VulDB • 26.08.2026
TarsWeb определяет, исходит ли запрос от доверенного локального вызывающего абонента, на основе заголовка, контролируемого клиентом. app.js устанавливает для Koa опцию proxy в значение true без указания того, какие прокси-серверы могут считаться доверенными, и без ограничения количества передаваемых хопов (hops), поэтому адрес запроса, который сообщает Koa, берется из заголовка X-Forwarded-For, предоставленного вызывающим абонентом. В файле midware/ssoMidware.js один ветвь кода охватывает как список игнорируемых путей, так и белый список ignoreIps из config/loginConf.js, который содержит адрес loopback (127.0.0.1), и эта ветвь присваивает эффективную учетную идентичность на основе параметра запроса uid до передачи управления дальнейшей обработке запроса без проверки любого билета (ticket), cookie или пароля. Запрос с поддельным значением X-Forwarded-For, указывающим адрес loopback, и параметром uid, соответствующим существующей учетной записи, поэтому достигает всех маршрутов, которые регистрирует консоль, от имени этой учетной записи, включая административную, без предоставления каких-либо учетных данных. Эти маршруты включают управление пользователями и ролями, конфигурацию сервисов, а также загрузку и развертывание пакетов. Версия 3.0.16 разделяет эти две ветви кода так, что совпадение с белым списком адресов присваивает настроенную учетную запись по умолчанию, а не ту, которая указана вызывающим абонентом.
If you want to get best quality of vulnerability data, you may have to visit VulDB.