CVE-2026-108951
ŚrednieCVSS 6.5Streszczenie
LavaLite CMS do wersji 10.1.2 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na modyfikowanie kont innych użytkowników poprzez nadużycie kontroli AbstractRequest isWorkflow(). Atakujący mogą wysłać żądanie PATCH do trasy aktualizacji użytkownika z identyfikatorem celu, aby zmienić nazwę, e-mail, hasło, status lub numer telefonu, w tym dla administratorów.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację kont użytkowników, w tym administratorów, co może prowadzić do przejęcia kont, eskalacji uprawnień i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację LavaLite CMS do wersji nowszej niż 10.1.2 oraz naprawę mechanizmu isWorkflow(), aby uniemożliwić obejście autoryzacji w trasie aktualizacji użytkownika.
Inne podatności w LavaLite CMS
Zobacz wszystkie- CVE-2025-71177Średnie
LavaLite CMS w wersjach do 10.1.0 zawiera podatność na trwałe cross-site scripting (XSS) w funkcji tworzenia i wyszukiwania pakietów. Zautoryzowani użytkownicy mogą wstrzyknąć złośliwy kod HTML lub JavaScript w pola Nazwa lub Opis pakietu, który jest przechowywany i wyświetlany bez odpowiedniego kodowania w wynikach wyszukiwania. Gdy inni użytkownicy przeglądają wyniki zawierające złośliwy pakiet, skrypt wykonuje się w ich przeglądarkach.
- CVE-2024-31828Średnie
Podatność na Cross Site Scripting w Lavalite CMS v.10.1.0 umożliwia atakującym wykonanie dowolnego kodu i uzyskanie wrażliwych informacji poprzez spreparowany payload w URL.
- CVE-2023-27237Średnie
W systemie LavaLite CMS w wersji 9.0.0 wykryto podatność na atak polegający na wstrzyknięciu nagłówka hosta. Atakujący może manipulować nagłówkiem Host w żądaniu HTTP, co może prowadzić do nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
LavaLite CMS through 10.1.2 contains an authorization bypass vulnerability that allows authenticated low-privileged users to modify other users' accounts by abusing the AbstractRequest isWorkflow() check. Attackers can send a PATCH request to the user update route with a target identifier to change name, email, password, status, or mobile, including for administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS