CVE-2026-119644
Blossom through 1.17.1 Authorization Bypass via Picture Delete and Star Endpoints
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Blossom до версии старше 1.17.1 либо ограничьте доступ к уязвимым эндпоинтам на уровне reverse proxy.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход авторизации в Blossom позволяет аутентифицированным пользователям удалять и модифицировать чужие изображения. Проверка прав владельца объекта отсутствует.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Эндпоинты удаления изображений, /picture/del/batch и /picture/star в Blossom до версии 1.17.1 включительно принимают произвольные идентификаторы без валидации принадлежности файла вызывающему пользователю. Достаточно прав обычной не-readonly учетной записи.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Необратимое удаление чужих изображений и файлов на сервере, а также несанкционированное изменение статуса избранного.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
blossom-editorBlossom
>= 0➔Патч не выпущен
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/blossom-editor/blossom/issues/214
- github.comhttps://github.com/blossom-editor/blossom/blob/v1.17.1/blossom-backend/backend/src/main/java/com/blossom/backend/server/picture/PictureService.java#L222-L232
- github.comhttps://github.com/blossom-editor/blossom/blob/v1.17.1/blossom-backend/backend/src/main/java/com/blossom/backend/server/picture/PictureController.java#L56-L109
- hackmd.iohttps://hackmd.io/@hieuPenguinnn/blossom-picture-idor-cross-user-delete
- github.comhttps://github.com/blossom-editor/blossom
- www.vulncheck.comhttps://www.vulncheck.com/advisories/blossom-through-1.17.1-authorization-bypass-via-picture-delete-and-star-endpoints
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-119644: Blossom through 1.17.1 Authorization Bypass via Picture Delete and Star Endpoints. URL: https://cve.futuretools.ru/cve/CVE-2026-119644
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_119644,
title = {{CVE-2026-119644: Blossom through 1.17.1 Authorization Bypass via Picture Delete and Star Endpoints}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119644}},
note = {Оперативный инженерный анализ киберугроз}
}