- Yama var
- Son 7 gün
- CWE-943
CVE-2026-123617
Openwhyd before 1.65.1 NoSQL Injection via POST /api/user
Orta
5,3
CVSS 3.1
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Openwhyd before 1.65.1 contains a NoSQL injection vulnerability that allows unauthenticated attackers to manipulate user lookups by passing JSON objects in the id parameter. Attackers can send MongoDB query operators such as $ne or $gt to POST /api/user to select and enumerate other users' public profile records.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| openwhyd | < 1.65.1 | 1.65.1 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…enwhyd/security/advisories/GHSA-hfg3-vq24-hprp Üretici bülteni
- github.com/…ommit/167c45d6754df0adb3415f71cbd7cde91cbe7874 Yama
- vulncheck.com/…efore-1.65.1-nosql-injection-via-post-api-user Üçüncü taraf
- github.com/openwhyd/openwhyd/releases/tag/v1.65.1 Diğer
- github.com/…nwhyd/openwhyd/blob/v1.65.0/app/models/user.js Diğer
Kayıt geçmişi
- Yayımlandı