Към съдържанието
Търсене

CVE-2026-93366: Bludit CMS, заобикаляне на вход и права

5.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Bludit CMS through 3.22.0 contains an authorization bypass vulnerability that allows authenticated users with the Author role to enumerate and delete media files belonging to pages owned by other users, including administrators, by supplying arbitrary uuid parameters to unprotected AJAX endpoints. Attackers can retrieve page UUIDs for all users via the content-get-list endpoint and then submit crafted POST requests to the list-images and delete-image endpoints in bl-kernel/ajax/ to access and destroy media files outside their own pages, bypassing the IMAGE_RESTRICT isolation control.

Засегнати продукти

  • Bludit Bludit CMS: до 3.22.0; до 4.0.0-beta-1; до 074773eff34b91c002ab9d99029a3edca4934bf1

Вид слабост

История

  • 25 септември 2026 Публикувано

Други уязвимости в Bludit Bludit CMS

Първоизточници

CVE-2026-93366: Bludit CMS, заобикаляне на вход и права | freedomonline.bg