CVE-2026-29789
CriticalSummary
Vito to samodzielnie hostowana aplikacja webowa, która pomaga zarządzać serwerami i wdrażać aplikacje PHP na serwerach produkcyjnych. W wersjach przed 3.20.3 brakowało sprawdzenia autoryzacji w akcjach tworzenia witryn, co pozwalało uwierzytelnionemu atakującemu z dostępem do zapisu w jednym projekcie na tworzenie/zarządzanie witrynami na serwerach należących do innych projektów, poprzez podanie obcego server_id.
Risk Assessment
Brak odpowiednich mechanizmów autoryzacji może prowadzić do nieautoryzowanego dostępu do zasobów serwerów, co stwarza ryzyko dla integralności i bezpieczeństwa danych w organizacji.
Recommendation
Zaleca się aktualizację do wersji 3.20.3 lub nowszej, aby usunąć tę podatność oraz przeprowadzenie audytu uprawnień użytkowników w systemie.
Original NVD description (English source)
Vito is a self-hosted web application that helps manage servers and deploy PHP applications into production servers. Prior to version 3.20.3, a missing authorization check in workflow site-creation actions allows an authenticated attacker with workflow write access in one project to create/manage sites on servers belonging to other projects by supplying a foreign server_id. This issue has been patched in version 3.20.3.