CVE-2026-7165

취약점은 '/addJugador' 엔드포인트에 존재합니다.

• 'keyJugador' 및 'keyJugadorObjectiu' 매개변수를 사용하면 사전 승인 검증 없이 다른 사용자의 정보를 수정할 수 있습니다. 이를 통해 인증된 공격자가 사용자의 ID를 변경하고 정보를 변경할 수 있습니다.

• 'punts' 및 'numObjectiusEliminats' 필드에서는 사용자 입력이 제대로 검증되지 않아 임의의 데이터를 추가할 수 있습니다. 이를 통해 게임 점수를 위조하여 시의회에서 수여하는 실제 상품을 획득하는 것이 가능해졌습니다.

• '토큰' 필드에서는 서버 검증이나 사전 인증 없이 관리 권한을 자체 할당할 수 있습니다. 이 취약점으로 인해 인증된 공격자가 자신에게 관리자 권한을 부여하여 권한을 상승시킬 수 있습니다.

• 숫자 필드에는 시스템 충돌을 일으킬 수 있는 매우 긴 값을 입력할 수 있습니다. 이 취약점을 성공적으로 악용하면 인증된 공격자가 서비스 거부(DoS) 공격을 실행하여 생성된 게임을 플레이할 수 없도록 할 수 있습니다.

• 'urlImatge' 매개변수는 임의 URL에 대한 서버 측 요청을 허용하여 사용자의 내부 IP 주소 검색, 내부 서비스에 대한 액세스, 로컬 파일 읽기 및 타사 API와의 무단 상호 작용을 가능하게 합니다. 인증된 공격자는 민감한 데이터에 접근할 수 있습니다.