CVE-2026-109167
Beschrijving NL
Het TDuck-enquêteformulier via 6.0 bevat een onveilige kwetsbaarheid voor directe objectreferenties in de saveFormTheme-handler waarmee geverifieerde gebruikers de formulierthema's van andere gebruikers kunnen overschrijven. Aanvallers van wie het formulier geen thema heeft, kunnen het sequentiële thema-ID van een ander formulier indienen met hun eigen formKey, de kleuren en afbeeldings-URL's vervangen en het thema van het slachtoffer verwijderen.
Origineel (Engels) tonen
TDuck survey form through 6.0 contains an insecure direct object reference vulnerability in the saveFormTheme handler that allows authenticated users to overwrite other users' form themes. Attackers whose form has no theme can submit another form's sequential theme id with their own formKey, replacing its colours and image URLs and removing the victim's theme.