CVE-2026-7165

Zəiflik ‘/addJugador’ son nöqtəsində (endpoint) mövcuddur: * 'keyJugador' və 'keyJugadorObjectiu' parametrləri əvvəlki avtorizasiya təsdiqi olmadan digər istifadəçilərin məlumatlarının dəyişdirilməsinə imkan verir. Bu, autentifikasiya olunmuş hücumçuya hər hansı istifadəçinin ID-sini dəyişdirməyə və onların məlumatlarını redaktə etməyə şərait yarada bilər. * İstifadəçi girişləri düzgün şəkildə yoxlanılmadığı üçün ‘punts’ və ‘numObjectiusEliminats’ sahələrinə ixtiyari məlumatların əlavə edilməsi mümkündür. Bu, oyun xallarını saxtalaşdıraraq şəhər şuraları tərəfindən verilən real mükafatların əldə edilməsini mümkün edir. * ‘tokens’ sahəsində, server təsdiqi və ya əvvəlki autentifikasiya olmadan inzibati imtiyazlar özünə təyin edilə bilər. Bu zəiflik autentifikasiya olunmuş hücumçuya admin icazələri verməyə və beləliklə imtiyazları yüksəltməyə imkan verə bilər. * Rəqəmsal sahələr həddindən artıq uzun dəyərlərin daxil edilməsinə imkan verir ki, bu da sistemin çökməsinə səbəb ola bilər. Bu zəifliyin uğurlu istismarı autentifikasiya olunmuş hücumçuya xidmətdən imtina (DoS) hücumu həyata keçirməyə və yaradılmış oyunların oynanılmasına mane olmağa imkan verə bilər. * ‘urlImatge’ parametri ixtiyari URL-lərə server tərəfli sorğuların göndərilməsinə imkan verir ki, bu da istifadəçilərin daxili IP ünvanlarının əldə edilməsinə, daxili xidmətlərə girişə, lokal faylların oxunmasına və üçüncü tərəf API-ləri ilə icazəsiz qarşılıqlı əlaqəyə şərait yaradır. Autentifikasiya olunmuş hücumçu həssas məlumatlara giriş əldə edə bilər.