CVE-2026-53959

4gaBoards: Revelação em massa de informações (perda de PII interno) em /api/users para qualquer usuário autenticado

4gaBoards là một hệ thống bảng để quản lý dự án thực tế. Trước phiên bản 3.3.9, 4gaBoards cho phép bất kỳ người dùng đã đăng nhập nào liệt kê thông tin tài khoản của mọi người thông qua GET /api/users và lấy tài khoản tùy ý thông qua GET /api/users/:id. Các hành động users/index và users/show phụ thuộc chỉ vào chính sách is-authenticated mặc định trong server/config/policies.js, và server/api/controllers/users/index.js trả về kết quả của sails.helpers.users.getMany() mà không có sự cấp quyền hoặc sanit hóa phản hồi cụ thể cho người yêu cầu. Các phản hồi tiết lộ email, số điện thoại, tổ chức, tên, isAdmin, ssoGoogleEmail, ssoGithubEmail, và các trường email liên kết với SSO khác, bao gồm thông tin cho quản trị viên. Điều này cho phép liệt kê tài khoản người dùng toàn hệ thống, mất quyền riêng tư và phân tích lừa đảo mục tiêu. Lỗi này đã được sửa trong phiên bản 3.3.9.

Bạn tra cứu quá nhanh — thử lại sau 38 giây.

CVSS (NVD)

6.5 · MEDIUM

Loại lỗi (CWE)

CWE-200

EPSS (FIRST)

1.03% khả năng bị khai thác trong 30 ngày