Към съдържанието
Търсене

CVE-2026-104991: Alanaktion phproject, заобикаляне на вход и права

7.1

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Phproject before 1.8.7 contains a missing object-level authorization vulnerability in the REST API issue endpoints (single_get, single_comments, single_comments_post) that allows authenticated API key holders to bypass the security.restrict_access confidentiality control by never invoking the allowAccess() authorization routine. Attackers can use a valid API key to read restricted issue contents and comments, including owner and author email addresses, and post unauthorized comments to issues they should not have access to.

Засегнати продукти

  • Alanaktion phproject: 1.1.6 преди 1.8.7

Вид слабост

История

  • 2 октомври 2026 Публикувано

Други уязвимости в Alanaktion phproject

Първоизточници

CVE-2026-104991: Alanaktion phproject, заобикаляне на вход и права | freedomonline.bg