CVE-2026-7165

Zafiyet '/addJugador' uç noktasında mevcuttur: * 'keyJugador' ve 'keyJugadorObjectiu' parametreleri, önceden yetkilendirme doğrulaması gerektirmeden diğer kullanıcıların bilgilerinin değiştirilmesine izin verir. Bu durum, kimliği doğrulanmış bir saldırganın herhangi bir kullanıcının ID'sini değiştirmesine ve bilgilerini güncellemesine olanak tanıyabilir. * Kullanıcı girdileri uygun şekilde doğrulanmadığı için 'punts' ve 'numObjectiusEliminats' alanlarına rastgele veri eklenmesine izin verilir. Bu, oyun skorlarının sahtesi oluşturularak belediyeler tarafından verilen gerçek ödüllerin elde edilmesini mümkün kılar. * 'tokens' alanında, sunucu doğrulaması veya ön kimlik doğrulama olmaksızın yönetici ayrıcalıkları atanabilir. Bu zafiyet, kimliği doğrulanmış bir saldırganın kendisine yönetici izinleri vermesine ve böylece yetki yükseltmesine olanak tanıyabilir. * Sayısal alanlar aşırı uzun değerlerin girilmesine izin verir, bu da sistemin çökmesine neden olabilir. Bu zafiyetin başarıyla istismar edilmesi, kimliği doğrulanmış bir saldırganın hizmet reddi (DoS) saldırısı başlatmasına ve oluşturulan oyunların oynanamaz hale gelmesine yol açabilir. * 'urlImatge' parametresi, rastgele URL'lere sunucu taraflı istekler gönderilmesine izin vererek kullanıcıların dahili IP adreslerinin alınmasını, dahili servislere erişimi, yerel dosyaların okunmasını ve üçüncü taraf API'lerle yetkisiz etkileşime girilmesini sağlar. Kimliği doğrulanmış bir saldırgan hassas verilere erişim sağlayabilir.