CVE-2026-80349

TarsWeb sorğunun etibarlı yerli çağırıcıdan gəlib-gəlmədiyini müştəri tərəfindən idarə olunan başlıq vasitəsilə təyin edir. app.js faylı hansı yuxarı axın proksilərinin etibarlı ola biləcəyini qeyd etmədən və ötürülmüş sıçrayışların sayını məhdudlaşdırmadan Koa-nın proxy seçimini true olaraq təyin edir, buna görə də Koa tərəfindən hesabat verilən sorğu ünvanı çağırıcı tərəfindən təmin edilən X-Forwarded-For başlığından götürülür. midware/ssoMidware.js faylında tək bir budaq həm config/loginConf.js faylındakı ignored-path siyahısını, həm də loopback ünvanını ehtiva edən ignoreIps icazə siyahısını əhatə edir və həmin budaq heç bir bilet, kuki və ya şifrəni doğrulamadan, effektiv hesab kimliyini uid sorğu parametrindən təyin edərək sorğunu davam etdirir. Beləliklə, loopback ünvanını göstərən saxtalaşdırılmış X-Forwarded-For dəyəri və mövcud hesabı göstərən uid daşıyan sorğu, heç bir etibarlılıq sənədi olmadan, konsolun quraşdırdığı bütün marşrutlara (o cümlədən administratora aid olanlara) həmin hesab kimi daxil olur. Bu marşrutlara istifadəçi və rol administrasiyası, xidmət konfiqurasiyası, paket yükləmə və yerləşdirmə daxildir. Versiya 3.0.16 bu iki budağı ayırır, belə ki, ünvan icazə siyahısında uyğunluq tapıldıqda, çağırıcı tərəfindən adlandırılan hesab əvəzinə konfiqurasiya edilmiş standart hesab təyin edilir.