CVE-2026-45342

LinkAce veb sayt linklərini toplamaq üçün özünə məxsus hostunda yerləşdirilən arxivdir. Versiya 2.5.6-ya qədər olan LinkAce versiyalarında avtorizasiya siyasəti təbəqəsində Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) zəifliyi mövcuddur ki, bu da hər hansı autentifikasiya olunmuş istifadəçiyə digər istifadəçilərə məxsus resursları dəyişdirməyə imkan verir. Təsirə məruz qalan resurs növləri linklər, siyahılar, teqlər və qeydlərdir. Həm veb interfeys (UI), həm də REST API zəifliyə malikdir. Problemin kökü dörd model siyasətinin hamısının `update()` metodlarındadır: `LinkPolicy`, `LinkListPolicy`, `TagPolicy` və `NotePolicy`. Bunların hər biri giriş yoxlama metoduna (məsələn, `userCanAccessLink()`) yönləndirilir və həmin metod resursun sahibi kimdən asılı olmayaraq, gizli olmayan görünürlüyə malik hər hansı resurs üçün "true" qaytarır. Bu o deməkdir ki, hər hansı qeydiyyatdan keçmiş istifadəçi bütün instansiya üzrə hər hansı ictimai və ya daxili resursu redaktə edə bilər. Eyni siyasət fayllarındakı `delete()` metodları `$link->user->is($user)` vasitəsilə mülkiyyət hüququnu düzgün şəkildə tələb edir ki, bu da `update` funksiyasının yalnız sahibə məxsus olması planlaşdırıldığını təsdiqləyir. Eyni qüsur API təbəqəsində `AuthorizesUserApiActions::userCanUpdateModel()` vasitəsilə də mövcuddur; burada `userCanDeleteModel()` tərəfindən istifadə edilən mülkiyyət yoxlaması əvəzinə, səhv görünürlük yoxlaması təkrar olunub. `BulkEditController` vasitəsilə kütləvi redaktə əməliyyatları da təsirə məruz qalır. Bu zəiflik 2.5.6 versiyasında aradan qaldırılmışdır.