В функции configure файла blogserver/src/main/java/org/sang/config/WebSecurityConfig.java в VBlog версии до 1.0.0 обнаружена критическая уя…

В функции configure файла blogserver/src/main/java/org/sang/config/WebSecurityConfig.java в VBlog версии до 1.0.0 обнаружена критическая уязвимость, связанная с неправильным управлением доступом. Злоумышленник может воспользоваться этой уязвимостью удаленно. Доступен публичный эксплойт [1]. Метод configure использует "/reg" для сопоставления URL, но игнорирует шаблоны типа "/reg/". Только администратор может создавать пользователей, однако пользователи, не входящие в группу администраторов, могут создавать пользователей через путь /reg/ [1]. Источники: - [1] https://vuldb.com/?id.303643 - [2] https://vuldb.com/?ctiid.303643 - [3] https://vuldb.com/?submit.525609 - [4] https://magnificent-dill-351.notion.site/Improper-Authentication-Vulnerability-in-VBlog-1-0-0-1c0c693918ed80f2ace4fff7d1d51619