Към съдържанието
Търсене

CVE-2026-40349: leepeuker movary, заобикаляне на вход и права

8.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Movary is a self hosted web app to track and rate a user's watched movies. Prior to version 0.71.1, an ordinary authenticated user can escalate their own account to administrator by sending `isAdmin=true` to `PUT /settings/users/{userId}` for their own user ID. The endpoint is intended to let a user edit their own profile, but it updates the sensitive `isAdmin` field without any admin-only authorization check. Version 0.71.1 patches the issue.

Засегнати продукти

  • leepeuker movary: < 0.71.1

Вид слабост

История

  • 18 април 2026 Публикувано

Други уязвимости в leepeuker movary

Първоизточници

CVE-2026-40349: leepeuker movary, заобикаляне на вход и права | freedomonline.bg