turkios/cve-2026-32699-facturascripts-nick-bypassAccesso non autorizzato al controllo nel controller EditUser di FacturaScripts consente agli utenti autenticati di rinominare qualsiasi account (incluso quello admin) modificando il parametro nick non validato tramite intercettazione proxy. CVE corretto ma non pubblicato.
L'applicazione non riesce a validare il parametro nick durante una richiesta POST al controller EditUser. Sebbene l'interfaccia utente impedisca la modifica di questo campo, un utente può bypassare questa restrizione utilizzando un proxy per rinominare qualsiasi account (incluso l'Amministratore). Questo porta a Controllo di Accesso Rotto e potenziale Corruzione del Registro di Audit.
La vulnerabilità risiede nella logica di aggiornamento utente. Quando una richiesta POST viene inviata a /EditUser, il backend elabora il parametro nick del form-data senza verificare:
nick nel corpo:
admin in Vulnerable (o qualsiasi altra stringa)Risultato: L'applicazione disconnette l'utente. Accedi di nuovo utilizzando il nome utente Vulnerable + la password originale.
Un attaccante può sabotare efficacemente la traccia di audit del sistema, eseguendo azioni dannose e poi rinominando il proprio account per eludere il rilevamento o incastrare altri utenti. Questa rottura della responsabilità facilita l'impersonificazione dell'identità e rischia la corruzione dei dati, poiché i riferimenti interni al nome utente originale diventano orfani, minando l'integrità complessiva dell'ambiente multi-utente.
