- Yama var
- Son 7 gün
- CWE-639
CVE-2026-62277
LubeLogger: IDOR in PrintRecordStickers Allows Unauthenticated Cross-User Vehicle Record Exfiltration
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
LubeLogger is a self-hosted, open-source, web-based vehicle maintenance and fuel mileage tracker. Prior to 1.6.8, PrintRecordStickers in /Controllers/VehicleController.cs checks through CollaboratorFilter that the authenticated caller can view the supplied vehicleId, but fetches caller-supplied recordIds without checking that each record's VehicleId belongs to the authorized vehicle. An authenticated user can submit POST /Vehicle/PrintRecordStickers with an authorized vehicleId, enumerate other users' integer record IDs and select an ImportMode to retrieve records across the service, gas, repair, upgrade, tax, supply, note, odometer, reminder, plan, inspection and equipment stores. Returned information includes descriptions, costs, notes, mileage, extra fields and file attachment metadata, allowing cross-user disclosure of vehicle maintenance records. This issue is fixed in version 1.6.8.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hargata lubelog | < 1.6.8 | 1.6.8 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı