Vulnerabilidades de Gaudire
CVEs publicadas que afetam produtos de Gaudire: 3 registro(s), com severidade, exploração e correções.
CVE-2026-7167
Média · 6.9
CWE-200 22/06/2026
Multiple vulnerabilities in the Assassin game by Gaudire
The vulnerability arises when the system fails to properly validate the 'email' field during the authentication process, allowing unverified or fake email addresses to be accepted. This lack of validation enables the creation of user accounts with fake email addresses, facilitating the mass creation of fraudulent accounts. Successful exploitation of this vulnerability could allow an authenticated attacker to carry out various attacks, such as mass spam distribution, system abuse, or bypassing user controls, thereby compromising the security and integrity of the system.
CVE-2026-7166
Crítica · 9.2
CWE-200 22/06/2026
Exposição de dados sensíveis em API (CWE-200)
Vulnerabilidade envolvendo a exposição de dados sensíveis fornecidos sem proteção adequada. A API expõe dados de e-mail e número de telefone a partir dos campos 'email' e 'telefon'. Esta vulnerabilidade também está presente no banco de dados local, pois contém informações sensíveis acessíveis, como dados de menores de idade e de usuários municipais. A exploração bem-sucedida desta vulnerabilidade poderia permitir que um atacante remoto não autenticado obtivesse acesso a informações e dados sensíveis.
CVE-2026-7165
Crítica · 9.4
CWE-20 22/06/2026
Jogo Assassin da Gaudire: Falhas Múltiplas de Validação de Entrada, Autorização e SSRF no Endpoint addJugador
A vulnerabilidade está presente no endpoint '/addJugador':
* Os parâmetros 'keyJugador' e 'keyJugadorObjectiu' permitem a modificação das informações de outros usuários sem exigir validação prévia de autorização. Isso poderia permitir que um atacante autenticado altere o ID de qualquer usuário e modifique suas informações.
* Os campos 'punts' e 'numObjectiusEliminats' permitem adicionar dados arbitrários porque a entrada do usuário não é validada adequadamente. Isso possibilita obter prêmios autênticos, concedidos por câmaras municipais, mediante falsificação das pontuações do jogo.
* No campo 'tokens', privilégios administrativos podem ser atribuídos pelo próprio usuário sem validação no servidor ou autenticação prévia. Esta vulnerabilidade poderia permitir que um atacante autenticado se conceda permissões de administrador e assim escale privilégios.
* Campos numéricos aceitam valores extremamente longos, o que pode fazer o sistema travar. A exploração bem-sucedida poderia permitir que um atacante autenticado lance um ataque de negação de serviço (DoS), impedindo que os jogos criados sejam jogados.
* O parâmetro 'urlImatge' permite requisições do lado do servidor para URLs arbitrárias, possibilitando a obtenção de endereços IP internos dos usuários, acesso a serviços internos, leitura de arquivos locais e interação não autorizada com APIs de terceiros. Um atacante autenticado poderia obter acesso a dados sensíveis.