CVE-2025-66385
KrytyczneStreszczenie
UsersController::edit w Cerebrate przed wersją 1.30 umożliwia uwierzytelnionemu nieuprzywilejowanemu użytkownikowi eskalację swoich uprawnień (np. uzyskanie wyższej roli, takiej jak admin) poprzez endpoint user-edit przez podanie lub modyfikację pól role_id lub organisation_id w żądaniu edycji.
Ocena ryzyka
Ryzyko eskalacji uprawnień przez zwykłych użytkowników, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację Cerebrate do wersji 1.30 lub nowszej oraz wdrożenie kontroli dostępu na poziomie serwera.
Inne podatności w Cerebrate
Zobacz wszystkie- CVE-2026-53911Średnie
Cerebrate przed wersją 1.37 pozwalał na przesyłanie pola klucza głównego 'id' przez dane wejściowe podczas operacji edycji CRUD oraz w niektórych procesach patchowania niestandardowych encji. Umożliwiało to uwierzytelnionemu atakującemu złośliwe modyfikowanie rekordów, co prowadziło do aktualizacji niepowiązanych rekordów.
- CVE-2026-53901Wysokie
Cerebrate przed wersją 1.37 zawiera lukę typu mass-assignment w ogólnej ścieżce dodawania CRUD. Funkcja add() nie usuwa poprawnie pola 'id' z danych wejściowych, co pozwala użytkownikowi na ustawienie własnego identyfikatora dla nowego obiektu. Może to prowadzić do nieautoryzowanego tworzenia obiektów z wybranym ID, fałszowania obiektów lub kolizji identyfikatorów.
Oryginalny opis (angielski, źródło NVD)
UsersController::edit in Cerebrate before 1.30 allows an authenticated non-privileged user to escalate their privileges (e.g., obtain a higher role such as admin) via the user-edit endpoint by supplying or modifying role_id or organisation_id fields in the edit request.