یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100305 در نرم‌افزار TDuck Survey Form (نسخه ۶.۰ و قدیمی‌تر) شناسایی شده است. این نقص امنیتی به کاربران احراز هویت شده اجازه می‌دهد تا محدودیت‌های تعیین شده برای فرم‌های نظرسنجی را دور زده و نتایج را دستکاری کنند.
جزئیات فنی آسیب‌پذیری
این مشکل در نقطه انتهایی (Endpoint) مربوط به ارسال داده‌ها یعنی POST /user/form/data/create رخ می‌دهد. در این نسخه، سیستم قادر به اعمال محدودیت‌های پر کردن فرم در زمان ارسال داده‌ها نیست. در نتیجه، مهاجمانی که دارای یک حساب کاربری با سطح دسترسی پایین (Low-privileged account) هستند و کلید فرم (Form Key) مورد نظر را در اختیار دارند، می‌توانند موارد زیر را دور بزنند:
- وضعیت انتشار فرم (Publish Status)
- بازه زمانی تعیین شده (Time Window)
- سهمیه پاسخ‌ها (Quota)
- محدودیت‌های مبتنی بر IP (Per-IP restrictions)
تاثیرات امنیتی
این آسیب‌پذیری از نوع Missing Authorization (CWE-862) است و تاثیر آن عمدتاً بر Integrity (یکپارچگی داده‌ها) متمرکز است. مهاجم می‌تواند با ارسال تعداد نامحدود پاسخ، نتایج جمع‌آوری شده در نظرسنجی را به طور کامل جعل یا متورم (Inflate) کند. لازم به ذکر است که این نقص امنیتی منجر به نشت داده‌های محرمانه (Confidentiality) یا ایجاد اختلال در دسترس‌پذیری سرویس (Availability/DoS) نمی‌شود.
تحلیل دسترسی و بهره‌برداری
برای بهره‌برداری از این نقص، مهاجم باید از طریق پروتکل HTTP به صورت Remote متصل شده و دارای یک حساب کاربری معتبر باشد. به دلیل عدم نیاز به تعامل کاربر (No User Interaction)، این حمله می‌تواند به صورت خودکار و در مقیاس بالا برای تخریب اعتبار نتایج نظرسنجی‌ها اجرا شود.
