جزئیات آسیب‌پذیری
CVE-2026-121562
ctfd CTFd
CTFd 3.1.0 before 3.8.7 Information Disclosure via /api/v1/teams Endpoint
CVSS 4.0
6.9متوسط
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
CTFd 3.1.0 before 3.8.7 contains an information disclosure vulnerability in the /api/v1/teams list endpoint that exposes non-public team custom field values. Unauthenticated attackers can paginate GET requests to collect hidden registration data such as emails, phone numbers, and student IDs when team mode and public visibility are enabled.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 6.9متوسط | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
| 5.3متوسط | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| ctfd | CTFd | 3.1.0 ≤ v < 3.8.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://github.com/CTFd/CTFd/commit/122c224030224ca6a04d2928280055a84bbd4850 patch
- https://github.com/CTFd/CTFd product
- https://github.com/CTFd/CTFd/blob/3.8.6/CTFd/api/v1/teams.py#L128-L131 technical-description
- https://github.com/CTFd/CTFd/blob/3.8.6/CTFd/schemas/teams.py#L336-L363 technical-description
- https://blog.ctfd.io/ctfd-3-8-7/ technical-description
- https://github.com/CTFd/CTFd/releases/tag/3.8.7 technical-descriptionrelease-notes
- https://www.vulncheck.com/advisories/ctfd-3.1.0-before-3.8.7-information-disclosure-via-api-v1-teams-endpoint third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
امتیاز EPSS برای این CVE هنوز منتشر نشده است.
ضعف‌ها (CWE)
- CWE-863Incorrect Authorization