یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100304 در نرم‌افزار TDuck Survey Form نسخه 6.0 شناسایی شده است. این نقص امنیتی از نوع Information Disclosure (افشای اطلاعات) است و به دلیل نقص در مکانیزم احراز هویت و کنترل دسترسی در کلاس FormAuthUtils.hasPermission رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
این مشکل زمانی رخ می‌دهد که سیستم در بررسی مالکیت فرم‌ها دچار خطای Fail Open شود. در حالت عادی، سیستم دسترسی کاربران را به داده‌های فرم‌ها کنترل می‌کند، اما در صورتی که یک فرم به‌طور کامل حذف شده باشد، متد hasPermission به اشتباه اجازه دسترسی را صادر می‌کند. این امر باعث می‌شود کاربران احراز هویت شده (Authenticated Users) بتوانند با داشتن یک dataId معتبر، به داده‌های مربوط به فرم‌های حذف شده دسترسی پیدا کنند.
سناریوی حمله
- مراحل حمله: مهاجم ابتدا باید در سیستم احراز هویت شود. سپس با ارسال یک درخواست
GETبه اندپوینت/user/form/data/detailsو ارائه یکdataId(که می‌تواند حدس زده شود یا از قبل شناخته شده باشد)، اطلاعات مربوط به پاسخ‌های فرم‌های حذف شده را بازیابی می‌کند. - داده‌های در معرض خطر: این آسیب‌پذیری منجر به افشای اطلاعات حساس و شخصی (PII) کاربران می‌شود که در سوابق فرم‌های حذف شده باقی مانده است.
تحلیل اثرگذاری
از نظر Confidentiality (محرمانگی)، اثر این آسیب‌پذیری بالا (High) ارزیابی شده است، زیرا منجر به نشت داده‌های شخصی می‌شود. با این حال، این نقص هیچ تأثیری بر Integrity (یکپارچگی) یا Availability (در دسترس بودن) سیستم ندارد و پیچیدگی اجرای آن پایین (Low Complexity) است.
