جزئیات آسیب‌پذیری

CVE-2026-121545

robiningelbrecht dreeve

Dreeve before 5.8.0 Missing Authentication in Strava Webhook POST Handler

CVSS 4.0

6.9متوسط

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Dreeve before 5.8.0 contains a missing authentication vulnerability in StravaWebhookRequestHandler::handleEvent that allows unauthenticated attackers to forge Strava webhook events without signature, verify-token or owner_id checks. Attackers can send forged delete events with a known public Strava activity id to the webhook URL, causing permanent deletion of imported activities and their streams.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
6.9متوسط	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N`
6.5متوسط	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
robiningelbrecht	dreeve	v < 5.8.0	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/dreeveapp/dreeve/issues/2935 issue-tracking
https://github.com/dreeveapp/dreeve product
https://github.com/dreeveapp/dreeve/commit/1e88f7664a95ecbffd299195f4730a60fcd3181a patch
https://github.com/dreeveapp/dreeve/blob/v5.7.0/src/Controller/Strava/StravaWebhookRequestHandler.php#L64-L80 technical-description
https://github.com/dreeveapp/dreeve/blob/v5.7.0/src/Console/Strava/ProcessStravaWebhooksConsoleCommand.php technical-description
https://github.com/dreeveapp/dreeve/pull/2936 technical-descriptionpatchissue-tracking
https://www.vulncheck.com/advisories/dreeve-before-5.8.0-missing-authentication-in-strava-webhook-post-handler third-party-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۱۲
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۱۲
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

امتیاز EPSS برای این CVE هنوز منتشر نشده است.

ضعف‌ها (CWE)

CWE-345
Insufficient Verification of Data Authenticity