CVE-2025-66385
KrytyczneStreszczenie
UsersController::edit w Cerebrate przed wersją 1.30 umożliwia uwierzytelnionemu nieuprzywilejowanemu użytkownikowi eskalację swoich uprawnień (np. uzyskanie wyższej roli, takiej jak admin) poprzez endpoint user-edit przez podanie lub modyfikację pól role_id lub organisation_id w żądaniu edycji.
Ocena ryzyka
Ryzyko eskalacji uprawnień przez zwykłych użytkowników, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację Cerebrate do wersji 1.30 lub nowszej oraz wdrożenie kontroli dostępu na poziomie serwera.
Oryginalny opis (angielski, źródło NVD)
UsersController::edit in Cerebrate before 1.30 allows an authenticated non-privileged user to escalate their privileges (e.g., obtain a higher role such as admin) via the user-edit endpoint by supplying or modifying role_id or organisation_id fields in the edit request.