Към съдържанието
Търсене

CVE-2026-32104: withstudiocms studiocms, заобикаляне на вход и права

5.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

StudioCMS is a server-side-rendered, Astro native, headless content management system. Prior to 0.4.3, the updateUserNotifications endpoint accepts a user ID from the request payload and uses it to update that user's notification preferences. It checks that the caller is logged in but never verifies that the caller owns the target account (id !== userData.user.id). Any authenticated visitor can modify notification preferences for any user, including disabling admin notifications to suppress detection of malicious activity. This vulnerability is fixed in 0.4.3.

Засегнати продукти

  • withstudiocms studiocms: < 0.4.3

Вид слабост

История

  • 11 март 2026 Публикувано

Други уязвимости в withstudiocms studiocms

Първоизточници

CVE-2026-32104: withstudiocms studiocms, заобикаляне на вход и права | freedomonline.bg