5.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
HuLa-Server through 3.0.7 contains an insecure direct object reference vulnerability in PrivacyController that allows authenticated users to access other users' privacy settings by supplying their uid. Attackers can send GET or POST requests to /privacy with a target uid parameter to read and overwrite that user's UserPrivacy settings without ownership checks.
Засегнати продукти
- HuLaSpark HuLa-Server: до 3.0.7
Вид слабост
История
- 30 октомври 2026 Публикувано
Други уязвимости в HuLaSpark HuLa-Server
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-119650
- https://nvd.nist.gov/vuln/detail/CVE-2026-119650
- https://github.com/HuLaSpark/HuLa-Server/issues/34
- https://github.com/HuLaSpark/HuLa-Server/blob/v3.0.7/luohuo-cloud/luohuo-im/luohuo-im-controller/src/main/java/com/luohuo/flex/im/controller/user/PrivacyController.java#L25-L36
- https://github.com/HuLaSpark/HuLa-Server/blob/v3.0.7/luohuo-cloud/luohuo-im/luohuo-im-biz/src/main/java/com/luohuo/flex/im/core/user/service/impl/PrivacyServiceImpl.java#L20-L35
- https://hackmd.io/@hieuPenguinnn/hula-server-idor-privacy-feed-friend
- https://github.com/HuLaSpark/HuLa-Server
- https://www.vulncheck.com/advisories/hula-server-through-3.0.7-idor-via-privacy-endpoint-in-privacycontroller