CVE-2026-111352

WysokieCVSS 8.8

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

W ThinkCMF do wersji 8.0.1 występuje podatność nieprawidłowej autoryzacji w RestAdminBaseController, która pozwala ograniczonym administratorom backendu wywoływać wszystkie endpointy REST API administratora, ponieważ Auth::check() zawodzi w sposób otwarty, gdy nie istnieje reguła admin_api. Atakujący z ważnym tokenem API typu admin mogą wyświetlać e-maile i numery telefonów członków, wyłączać członków oraz wywoływać PUT admin/roles/{id}/authorize, aby przyznać sobie pełne uprawnienia administratora.

Ocena ryzyka

Ograniczeni administratorzy mogą uzyskać pełne uprawnienia administratora, co prowadzi do całkowitego przejęcia systemu i naruszenia danych osobowych członków. Możliwe jest masowe wyświetlanie danych kontaktowych i wyłączanie kont członków.

Rekomendacja

Zaktualizuj ThinkCMF do wersji nowszej niż 8.0.1, jeśli jest dostępna, lub wdróż poprawkę, aby Auth::check() domyślnie odmawiało dostępu przy braku reguły admin_api. Przeprowadź audyt tokenów API typu admin i ogranicz ich uprawnienia.

Inne podatności w ThinkCMF

CVE-2026-102771Średnie
W Naichen ThinkCMF do wersji 8.0.7 wykryto podatność w funkcji MailController::templatePut w pliku cmf-api/src/admin/controller/MailController.php w komponencie Email Template. Manipulacja prowadzi do niewłaściwej neutralizacji specjalnych elementów używanych w silniku szablonów. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

ThinkCMF through 8.0.1 contains an incorrect authorization vulnerability in RestAdminBaseController that allows restricted backend administrators to call every admin REST API endpoint because Auth::check() fails open when no admin_api rule exists. Attackers with a valid admin-type API token can list member emails and mobile numbers, disable members, and call PUT admin/roles/{id}/authorize to grant themselves full administrator rights.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS