CVE-2026-53959

4gaBoards real vaxt layihə idarəetməsi üçün lövhələr sistemidir. 3.3.9 versiyasından əvvəl 4gaBoards istənilən autentifikasiya olunmuş istifadəçiyə GET /api/users vasitəsilə bütün istifadəçilərin hesab məlumatlarını sadalamağa və GET /api/users/:id vasitəsilə ixtiyari hesabları əldə etməyə imkan verir. users/index və users/show əməliyyatları yalnız server/config/policies.js faylındakı standart is-authenticated siyasətinə əsaslanır və server/api/controllers/users/index.js sails.helpers.users.getMany() nəticəsini sorğu göndərənə xas avtorizasiya və ya cavabın təmizlənməsi olmadan qaytarır. Cavablar email, phone, organization, name, isAdmin, ssoGoogleEmail, ssoGithubEmail və digər SSO ilə əlaqəli email sahələrini, o cümlədən administratorların məlumatlarını açıqlayır. Bu, bütün instansiya üzrə istifadəçilərin sadalanmasına, məxfilik itkisinə və hədəflənmiş fişinq kəşfiyyatına imkan yaradır. Bu problem 3.3.9 versiyasında düzəldilmişdir.