CVE-2025-70148
HighCVSS 7.5Exploitation Probability (EPSS)
Low risk36th percentile - higher than 36% of all known CVEs
Summary
Brak uwierzytelniania i autoryzacji w pliku print_membership_card.php w systemie zarządzania członkostwem CodeAstro 1.0 umożliwia nieautoryzowanym atakującym dostęp do danych kart członkowskich dowolnych użytkowników poprzez bezpośrednie żądania z manipulowanym parametrem id, co prowadzi do niebezpiecznego bezpośredniego odniesienia do obiektów (IDOR).
Risk Assessment
Organizacja jest narażona na wyciek danych osobowych użytkowników, co może prowadzić do naruszenia prywatności i utraty zaufania klientów. Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji bez odpowiednich uprawnień.
Recommendation
Zaleca się wprowadzenie odpowiednich mechanizmów uwierzytelniania i autoryzacji w celu zabezpieczenia dostępu do danych kart członkowskich. Należy również przeprowadzić audyt kodu w celu identyfikacji i naprawy podobnych luk w zabezpieczeniach.
Related vulnerabilities
- CVE-2026-87886HighActively exploited
The vulnerability is a local privilege escalation due to insecure file permissions. It affects Acronis Backup plugin for cPanel & WHM (Linux) before build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) before build 1.8.11.638, and Acronis Backup plugin for DirectAdmin (Linux) before build 1.2.3.238.
- CVE-2026-87701Critical
Improper neutralization of special elements in output used by a downstream component ('injection') in Azure Cosmos DB allows an authorized attacker to elevate privileges over a network.
- CVE-2026-85889Critical
Missing authentication for a critical function in Azure AI Foundry allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-85885Critical
Improper neutralization of special elements used in a command ('command injection') in M365 Copilot allows an authorized attacker to elevate privileges over a network.
- CVE-2026-83944Critical
Improper access control in Azure Logic Apps allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-77903Critical
Authentication bypass by spoofing in Microsoft Dataverse allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-70200Critical
Improper limitation of a pathname to a restricted directory ('path traversal') in Azure Logic Apps allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-70009Critical
Improper limitation of a pathname to a restricted directory ('path traversal') in Azure Arc allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-69865Critical
Authorization bypass through a user-controlled key in Microsoft Container Registry allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-69399Critical
Elevation of Privilege vulnerability in Azure Arc. Technical details were not provided in the description.
Original NVD description (English source)
Missing authentication and authorization in print_membership_card.php in CodeAstro Membership Management System 1.0 allows unauthenticated attackers to access membership card data of arbitrary users via direct requests with a manipulated id parameter, resulting in insecure direct object reference (IDOR).