CVE-2026-70557

diboot-core'un POST /common/load-related-data uç noktası, çağıran tarafından sağlanan alan adlarını herhangi bir varlığın herhangi bir @TableField sütununa çözümler ve bu değerleri tüm satırlar için döndürür; hiçbir alan veya varlık izin listesi yoktur. Tek koruma olan relatedDataSecurityCheck() koşulsuz olarak true döndürdüğünden, herhangi bir kimliği doğrulanmış kullanıcı (sıfır rollü bir hesap dahil) her hesap için IamAccount.authSecret ve IamAccount.secretSalt gibi @JsonIgnore ile işaretlenmiş gizli alanları veya başka herhangi bir varlığın rastgele gizli alanlarını okuyabilir. Shiro'nun 8 karakterlik tuzla iki iterasyonlu MD5'i çevrimdışı olarak kolayca kırılabilir, bu nedenle açığa çıkan yönetici parola karmaları tam yönetici ele geçirmeye dönüşür. Uç nokta örnek kod değildir; resmi diboot-admin-ui ön ucu bunu gerektirir, dolayısıyla satıcının önerdiği entegrasyonu izleyen dağıtımlar bunu açığa çıkarır. Mekanizma geliştirme dalında relatedData* olarak attachMore* olarak yeniden adlandırılmıştır, ancak attachMoreSecurityCheck() de koşulsuz olarak true döndürür.