CVE-2026-35173 是 Chyrp Lite 博客引擎中发现的一个身份验证不足（IDOR）/批量赋值漏洞。该漏洞允许具有帖子编辑权限的经过身份验证的用户修改他们不拥有且无权编辑的帖子，可能导致帖子被接管。此问题影响 Chyrp Lite 版本小于或等于 2026.01 的版本。Chyrp Lite 已经发布了 2026.01 版本来修复此漏洞。
CVE-2026-35173 影响 Chyrp Lite，一个轻量级的博客引擎。经过身份验证的用户，如果拥有帖子编辑权限（编辑帖子、编辑草稿、编辑自己的帖子、编辑自己的草稿），可以修改他们不拥有且没有编辑权限的帖子。此 IDOR（间接对象引用）和批量分配漏洞是由于系统在处理编辑请求时未正确验证内部标识符而产生的。攻击者可以通过将其他帖子的 ID 包含在 post_attributes 负载中来操纵数据，从而修改他们不应该访问的帖子的数据。这可能导致内容修改、帖子删除，甚至恶意代码注入，从而损害网站的完整性和用户的信息。CVSS 严重程度评分为 6.5，表示中等风险。
拥有 Chyrp Lite 中经过身份验证的用户帐户和帖子编辑权限的攻击者可以利用此漏洞。攻击者可以识别他们不拥有的帖子的 ID，然后构造恶意的编辑请求，通过操纵 post_attributes 负载来包含目标帖子的 ID。如果应用程序未正确验证此 ID，攻击者可以像所有者一样修改帖子的数据。利用需要对 Chyrp Lite 的数据结构有基本的了解以及构建操作 HTTP 请求的能力。一旦获得经过身份验证的访问和编辑权限，利用难度相对较低。
Blog administrators and users with post editing permissions are at risk. Shared hosting environments are particularly vulnerable, as multiple Chyrp Lite instances may reside on the same server, increasing the potential for cross-site exploitation. Users relying on Chyrp Lite for sensitive information or critical communications should prioritize patching.
• php: Examine application logs for unusual POST requests containing manipulated post_attributes payloads. Search for patterns like id=... followed by unexpected user IDs.
grep 'post_attributes=id=' /var/log/apache2/access.log• generic web: Monitor for POST requests to post editing endpoints with suspicious parameters. Use a WAF to detect and block such requests.
curl -X POST -d "post_attributes=id=123" <post_edit_endpoint>• generic web: Check for unusual modifications to post content or metadata that do not align with expected user activity.
disclosure
漏洞利用状态
EPSS
0.03% (7% 百分位)
CISA SSVC
CVSS 向量
解决 CVE-2026-35173 的方法是将 Chyrp Lite 更新到 2026.01 或更高版本。此更新实施了更严格的安全验证，以防止内部标识符的操纵，并确保用户只能编辑他们具有适当权限的帖子。强烈建议尽快应用此更新以降低被利用的风险。此外，请审查 Chyrp Lite 中用户角色和权限策略，以确保只有授权用户才能访问帖子编辑功能。监控服务器日志以查找可疑活动也有助于检测和响应潜在的利用尝试。
Actualice Chyrp Lite a la versión 2026.01 o posterior para mitigar la vulnerabilidad de IDOR. Esta actualización corrige el problema de asignación masiva que permite a los atacantes modificar publicaciones que no poseen.
漏洞分析和关键警报直接发送到您的邮箱。
IDOR 代表间接对象引用 (Indirect Object Reference)。当应用程序使用标识符（例如帖子 ID）访问对象，但未验证用户是否有权访问该对象时，会发生一种类型的漏洞。
如果您使用的是 2026.01 之前的版本，则您的网站容易受到攻击。您可以在 Chyrp Lite 管理页面上检查您的版本。
立即更改所有用户密码，检查帖子是否有可疑内容，并将 Chyrp Lite 更新到最新版本。
目前没有用于检测 CVE-2026-35173 的特定工具。但是，Web 漏洞扫描程序可以识别 IDOR 模式。
您可以在漏洞数据库（例如 NIST NVD（国家漏洞数据库））或 Chyrp Lite 社区论坛上找到更多信息。