یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100306 در نرم‌افزار TDuck (نسخه‌های ۶.۰ و قدیمی‌تر) شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، داده‌های غیرمجاز را به فرم‌های نظرسنجی ارسال کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی ناشی از عدم اعتبارسنجی رمز عبور در سمت سرور (Server-side) در نقاط انتهایی (Endpoints) مربوط به ارسال داده‌ها است. در واقع، بررسی رمز عبور تنها در لایه Front-end و توسط JavaScript پیاده‌سازی شده است. این موضوع باعث می‌شود مهاجمان بتوانند با دور زدن رابط کاربری و ارسال درخواست‌های مستقیم به Public API، محدودیت‌های امنیتی را نادیده بگیرند.
سناریوی حمله
- پیش‌نیاز: مهاجم تنها به Form Key نیاز دارد که در لینک‌های اشتراک‌گذاری عمومی (Public Share Links) قابل مشاهده است.
- روش اجرا: با استفاده از این کلید، مهاجم می‌تواند بدون داشتن رمز عبور، داده‌ها را مستقیماً به API ارسال کند.
- شرایط: برای این حمله، هیچ نیازی به داشتن حساب کاربری، تعامل کاربر (User Interaction) یا پیکربندی خاصی نیست.
تحلیل اثرگذاری
این آسیب‌پذیری در دسته CWE-602 (اعمال امنیت سمت سرور در سمت کلاینت) قرار می‌گیرد. اگرچه این نقص منجر به اجرای کد از راه دور (RCE) یا نشت داده‌های حساس نمی‌شود، اما یکپارچگی داده‌های جمع‌آوری شده در نظرسنجی‌ها را به شدت تحت تأثیر قرار داده و امکان ارسال داده‌های جعلی و انبوه را فراهم می‌کند.
