CVE-2026-70557

diboot-core-un POST /common/load-related-data endpoint-i çağıran tərəfindən verilən sahə adlarını hər hansı entitetin istənilən @TableField sütununa uyğunlaşdırır və bütün sətirlər üçün həmin dəyərləri qaytarır, heç bir sahə və ya entitet icazə siyahısı olmadan. Yeganə qoruyucu olan relatedDataSecurityCheck() heç bir şərt olmadan true qaytarır, buna görə də hər hansı autentifikasiyadan keçmiş istifadəçi (sıfır rollu hesab da daxil olmaqla) hər hesab üçün IamAccount.authSecret və IamAccount.secretSalt kimi @JsonIgnore annotasiyalı məxfi sahələri və ya hər hansı digər entitetin ixtiyari məxfi sahələrini oxuya bilər. Shiro-nun 8 simvollu duz ilə iki iterasiyalı MD5-i oflayn şəkildə asanlıqla sındırıla bilər, buna görə də açıqlanmış admin parol heşləri tam inzibati ələ keçirməyə çevrilir. Endpoint nümunə kodu deyil; rəsmi diboot-admin-ui frontend onu tələb edir, buna görə də satıcının tövsiyə etdiyi inteqrasiyaya əməl edən quraşdırmalar onu açıq şəkildə təqdim edir. Mexanizm development branch-də relatedData* adından attachMore* adına dəyişdirilmişdir, lakin attachMoreSecurityCheck() də heç bir şərt olmadan true qaytarır.