MoguBlog до 6.2 не может аутентифицировать запросы к конечной точке /web/comment/closeEmailNotification, что позволяет неаутентифицированным злоумышленникам отключать уведомления по электронной почте для произвольных пользователей. Удаленные вызывающие абоненты могут изменить флаг startEmailNotification в кеше Redis для любого идентификатора пользователя, чтобы подавить уведомления об ответах без авторизации.
Показать оригинальное описание (EN)
MoguBlog through 6.2 fails to authenticate requests to the /web/comment/closeEmailNotification endpoint, allowing unauthenticated attackers to disable email notifications for arbitrary users. Remote callers can modify the startEmailNotification flag in Redis cache for any user identifier to suppress reply notifications without authorization.
Характеристики атаки
Последствия
Строка CVSS v4.0