CVE-2026-111365

ŚrednieCVSS 6.0

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

cool-admin-midway w wersji do 8.0.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala administratorom niebędącym superadministratorami odczytywać, modyfikować lub usuwać role innych administratorów poprzez podanie dowolnych identyfikatorów ról. Atakujący posiadający zwykłe uprawnienia sys:role mogą wywołać /admin/sys/role/info, update lub delete z identyfikatorem roli innego administratora, aby przepisać uprawnienia do menu i działów, zmieniając efektywny dostęp innych użytkowników.

Ocena ryzyka

Administratorzy o ograniczonych uprawnieniach mogą eskalować swoje uprawnienia lub ograniczać dostęp innym administratorom, co prowadzi do naruszenia kontroli dostępu i potencjalnych dalszych ataków.

Rekomendacja

Zaktualizuj cool-admin-midway do wersji nowszej niż 8.0.0, jeśli jest dostępna, oraz wdroż weryfikację uprawnień do modyfikacji ról innych administratorów.

Inne podatności w cool-admin-midway

CVE-2026-111366Wysokie
W cool-admin-midway do wersji 8.0.0 występuje podatność obejścia autoryzacji, która pozwala administratorom ograniczonym do działu zarządzać użytkownikami spoza ich działów poprzez podanie dowolnych identyfikatorów użytkowników. Atakujący posiadający uprawnienia sys:user:* mogą wywoływać /admin/sys/user/info, update lub delete, aby odczytywać rekordy, resetować hasła i role lub usuwać konta.

Oryginalny opis (angielski, źródło NVD)

cool-admin-midway through 8.0.0 contains an authorization bypass vulnerability that allows non-superadmin admins to read, modify, or delete other admins' roles by supplying arbitrary role ids. Attackers holding ordinary sys:role permissions can call /admin/sys/role/info, update, or delete with another admin's role id to rewrite menu and department grants, changing other users' effective access.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS