В Waline нашли NoSQL-инъекцию с обходом аутентификации

В сервере комментариев Waline (@waline/vercel) до версии 1.40.3 обнаружена уязвимость GHSA-jf75-q64q-g65r с оценкой CVSS 6.5. При бэкенде на MongoDB эндпоинт POST /api/token не проверяет тип email, что позволяет атаковать аккаунт администратора без знания его адреса. Исправлено в версии 1.41.0.

• Уязвимость затрагивает @waline/vercel 1.40.3 и ниже при хранилище MongoDB
• CVSS 6.5: NoSQL-инъекция и частичный обход аутентификации
• PoC опубликован, патч вышел в версии 1.41.0