CVE-2026-80349

Nome do Software Vulnerável e Versões Afetadas TarsWeb versões anteriores a 3.0.16

Description O TarsWeb determina incorretamente se uma requisição provém de um chamador local confiável baseando-se em um cabeçalho controlado pelo cliente. O arquivo app.js ativa a opção de proxy do Koa sem especificar proxies upstream confiáveis ou limitar saltos encaminhados, fazendo com que o endereço da requisição reportado seja extraído do cabeçalho X-Forwarded-For. Em midware/ssoMidware.js, um erro de lógica em um ramo que processa tanto a lista de caminhos ignorados quanto a lista de permissões ignoreIps (que inclui o endereço de loopback) permite que o sistema atribua a identidade de uma conta com base no parâmetro de consulta uid sem validar tickets, cookies ou senhas. Um invasor pode forjar o cabeçalho X-Forwarded-For para simular o endereço de loopback e fornecer um uid para obter acesso não autorizado a qualquer conta, incluindo administradores. Isso concede acesso a rotas de administração de usuários e funções, configuração de serviços e upload e implantação de pacotes.

Recommendations Atualize o TarsWeb para a versão 3.0.16.