CVE-2026-53959
Açıklama
4gaBoards, gerçek zamanlı proje yönetimi için bir panolar sistemidir. 3.3.9 sürümünden önce 4gaBoards, kimliği doğrulanmış herhangi bir kullanıcının GET /api/users üzerinden tüm kullanıcılar için hesap bilgilerini numaralandırmasına ve GET /api/users/:id üzerinden rastgele hesapları geri almasına izin verir. users/index ve users/show eylemleri yalnızca server/config/policies.js içindeki varsayılan is-authenticated politikasına dayanır ve server/api/controllers/users/index.js, istek yapan kişiye özel yetkilendirme veya yanıt temizleme işlemi yapmadan sails.helpers.users.getMany() sonucunu döndürür. Yanıtlar; yöneticilere ait veriler dahil olmak üzere e-posta, telefon, organizasyon, isim, isAdmin, ssoGoogleEmail, ssoGithubEmail ve diğer SSO bağlantılı e-posta alanlarını ifşa eder. Bu durum, örnek genelinde kullanıcı numaralandırmaya, gizlilik kaybına ve hedefli oltalama keşif faaliyetlerine olanak tanır. Bu sorun 3.3.9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| RARgames 4gaBoards | < 3.3.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.