CVE-2025-61777
FlagForge допускает неаутентифицированный доступ к API шаблонов бейджей
- Опубликовано
- 6 окт. 2025 г.
- Обновлено
- 28 янв. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 25 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:LНизкий · следующие 30 дней
- Процентиль
- 37,6 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Flag Forge — это платформа для соревнований Capture The Flag (CTF). Начиная с версии 2.0.0 и до версии 2.3.2, конечные точки `/api/admin/badge-templates` (GET) и `/api/admin/badge-templates/create` (POST) ранее допускали доступ без аутентификации или авторизации. Это могло позволить неавторизованным пользователям получать все шаблоны значков и чувствительные метаданные (createdBy, createdAt, updatedAt) и/или создавать произвольные шаблоны значков в базе данных. Это могло привести к раскрытию данных, загрязнению базы данных или злоупотреблению системой значков. Проблема исправлена в FlagForge v2.3.2. Конечные точки GET, POST, UPDATE и DELETE теперь требуют аутентификации. Проверки авторизации гарантируют, что только администраторы могут получать доступ к шаблонам значков и изменять их. Надёжных обходных путей не существует.
Источники
CVE на FlagForgeCTF в версиях с v2.0.0 по v2.3.1. Обновлено до версии 2.3.2 для устранения проблемы.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.