anonhaven
Ad

CVE-2026-97061

MEDIUM CVSS 4.0: 5,3 EPSS 0.22%
Обновлено 29 сентября 2026
Black Candy
Параметр Значение
CVSS 5,3 (MEDIUM)
Тип уязвимости CWE-862 (Отсутствие авторизации)
Поставщик Black Candy
Публичный эксплойт Нет

Black Candy through 3.2.1 fails to scope playlist search queries to the authenticated session user, allowing any authenticated user to enumerate all playlists on the instance. Attackers can query the SearchController or Search::PlaylistsController endpoints with blank or targeted search parameters to retrieve playlist names belonging to other users without authorization.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-862 Missing Authorization (Отсутствие авторизации)

Уязвимые продукты

blackcandy-org:black candy

Ссылки 6

https://github.com/blackcandy-org/blackcandy/issues/463
GitHub Issue #463
https://github.com/blackcandy-org/blackcandy/blob/93cfdca9857a5e2ae847469c3238a…
NVD
https://github.com/blackcandy-org/blackcandy/blob/93cfdca9857a5e2ae847469c3238a…
NVD
https://github.com/blackcandy-org/blackcandy/blob/93cfdca9857a5e2ae847469c3238a…
NVD
https://github.com/blackcandy-org/blackcandy
NVD
https://www.vulncheck.com/advisories/black-candy-through-3.2.1-information-disc…
VulnCheck Advisory: Black Candy through 3.2.1 Information Disclosure via Playlist Search
Share Post Share Share Share