CVE-2026-45342

LinkAce, web sitesi bağlantılarını toplamak için kullanılan self-hosted bir arşivdir. 2.5.6 sürümünden önce LinkAce, yetkilendirme politikası katmanında, herhangi bir kimliği doğrulanmış kullanıcının diğer kullanıcılara ait kaynakları değiştirmesine izin veren bir Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyeti içermektedir. Etkilenen kaynak türleri linkler, listeler, etiketler ve notlardır. Hem web kullanıcı arayüzü hem de REST API etkilenmektedir. Kök neden; LinkPolicy, LinkListPolicy, TagPolicy ve NotePolicy olmak üzere dört model politikasının tamamındaki update() metodlarında yer almaktadır. Her biri, kaynağın sahibi kim olursa olsun, gizli olmayan görünürlüğe sahip her kaynak için true döndüren bir erişim kontrol metoduna (örneğin, userCanAccessLink()) delegasyon yapmaktadır. Bu durum, kayıtlı herhangi bir kullanıcının tüm örnek genelindeki herhangi bir genel veya dahili kaynağı düzenleyebileceği anlamına gelir. Aynı politika dosyalarındaki delete() metodları, $link->user->is($user) aracılığıyla sahipliği doğru şekilde şart koşmakta ve bu da update işleminin yalnızca sahibine özel olarak tasarlandığını doğrulamaktadır. Aynı kusur, userCanDeleteModel() tarafından kullanılan sahiplik kontrolü yerine hatalı görünürlük kontrolünü yansıtan AuthorizesUserApiActions::userCanUpdateModel() üzerinden API katmanında da mevcuttur. BulkEditController aracılığıyla yapılan toplu düzenleme işlemleri de etkilenmektedir. Bu zafiyet 2.5.6 sürümünde giderilmiştir.