च्यरप लाइट में पोस्ट मॉडल में मास असाइनमेंट के माध्यम से एक IDOR (IDOR via Mass Assignment) मौजूद है

CVE-2026-35173 Chyrp Lite को प्रभावित करता है, जो एक हल्का ब्लॉगिंग इंजन है। प्रमाणित उपयोगकर्ताओं के पास पोस्ट संपादन अनुमतियों (पोस्ट संपादित करें, ड्राफ्ट संपादित करें, अपना पोस्ट संपादित करें, अपना ड्राफ्ट संपादित करें) होने पर, वे उन पोस्ट को संपादित कर सकते हैं जो उनके स्वामित्व में नहीं हैं और जिनके लिए उनके पास संपादन की अनुमति नहीं है। यह IDOR (अप्रत्यक्ष वस्तु संदर्भ) और बल्क असाइनमेंट भेद्यता तब होती है जब सिस्टम संपादन अनुरोधों को संसाधित करते समय आंतरिक पहचानकर्ताओं को ठीक से मान्य नहीं करता है। एक हमलावर post_attributes पेलोड में अन्य पोस्ट के आईडी को शामिल करके डेटा को बदल सकता है, जिससे उन्हें उन पोस्ट तक पहुंच नहीं होनी चाहिए। इससे सामग्री में संशोधन, पोस्ट का विलोपन या यहां तक कि दुर्भावनापूर्ण कोड का इंजेक्शन हो सकता है, जिससे वेबसाइट की अखंडता और उपयोगकर्ता की जानकारी से समझौता हो सकता है। CVSS गंभीरता स्कोर 6.5 है, जो मध्यम जोखिम दर्शाता है।

Blog administrators and users with post editing permissions are at risk. Shared hosting environments are particularly vulnerable, as multiple Chyrp Lite instances may reside on the same server, increasing the potential for cross-site exploitation. Users relying on Chyrp Lite for sensitive information or critical communications should prioritize patching.

• php: Examine application logs for unusual POST requests containing manipulated post_attributes payloads. Search for patterns like id=... followed by unexpected user IDs.

grep 'post_attributes=id=' /var/log/apache2/access.log

• generic web: Monitor for POST requests to post editing endpoints with suspicious parameters. Use a WAF to detect and block such requests.

curl -X POST -d "post_attributes=id=123" <post_edit_endpoint>

• generic web: Check for unusual modifications to post content or metadata that do not align with expected user activity.

1. 2026-04-06Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-06
3. EPSS अद्यतन2026-04-14

CVE-2026-35173 का समाधान Chyrp Lite को संस्करण 2026.01 या बाद के संस्करण में अपडेट करना है। यह अपडेट आंतरिक पहचानकर्ताओं के हेरफेर को रोकने और यह सुनिश्चित करने के लिए सख्त सुरक्षा सत्यापन लागू करता है कि उपयोगकर्ता केवल उन पोस्ट को संपादित कर सकें जिनके लिए उनके पास उचित अनुमतियाँ हैं। शोषण के जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, Chyrp Lite के भीतर उपयोगकर्ता भूमिकाओं और अनुमति नीतियों की समीक्षा करें ताकि यह सुनिश्चित किया जा सके कि केवल अधिकृत उपयोगकर्ताओं के पास पोस्ट संपादन कार्यक्षमता तक पहुंच है। संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी संभावित शोषण प्रयासों का पता लगाने और प्रतिक्रिया देने में भी मदद कर सकती है।