یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100303 در نرم‌افزار TDuck Survey Form (نسخه ۶.۰ و نسخه‌های قدیمی‌تر) شناسایی شده است. این نقص امنیتی از نوع Missing Authorization (CWE-862) است و به دلیل نبود بررسی‌های لازم در نقاط انتهایی (Endpoints) مربوط به FormThemeController رخ داده است.
جزئیات فنی آسیب‌پذیری
در این نرم‌افزار، نقاط انتهایی مربوط به عملیات نوشتن (Write) برای تم‌های جهانی (Global Themes) و دسته‌بندی‌های تم، فاقد کنترل‌های دسترسی مناسب هستند. این بدان معناست که سیستم بررسی نمی‌کند آیا کاربر درخواست‌دهنده نقش مدیر (Admin) دارد یا مالک منابع مورد نظر است یا خیر.
تاثیرات امنیتی
- سطح دسترسی: کاربرانی که دارای یک حساب کاربری با سطح دسترسی پایین (Low-privilege) هستند، می‌توانند از این نقص بهره‌برداری کنند.
- دامنه اثر: مهاجم می‌تواند تم‌ها و دسته‌بندی‌های تم را که بر فرم‌های سایر کاربران تاثیر می‌گذارد، اضافه، تغییر یا حذف کند.
- تأثیر بر CIA: این آسیب‌پذیری تأثیری بر محرمانگی (Confidentiality) داده‌ها ندارد، اما بر یکپارچگی (Integrity) و در دسترس بودن (Availability) منابع مشترک تم اثر می‌گذارد.
تحلیل بردار حمله
این آسیب‌پذیری از طریق شبکه (Network-reachable) و با پیچیدگی پایین (Low-complexity) قابل بهره‌برداری است. با توجه به امتیاز CVSS 4.0، این مورد در سطح Medium ارزیابی شده است زیرا برای اجرای حمله، داشتن یک حساب کاربری معتبر (هرچند با دسترسی محدود) الزامی است.
