CVE-2026-120445

WysokieCVSS 8.8

Opublikowano: 02/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

madong-admin-saas do wersji 5.1.4 zawiera podatność nieprawidłowej autoryzacji w AccessTokenMiddleware, która pozwala uwierzytelnionym użytkownikom dzierżawcy na dostęp do API zarządzania platformą w trybie multi-tenant. Atakujący może użyć JWT logowania dzierżawcy przeciwko kontrolerom /platformapi, aby tworzyć konta administratorów platformy, odczytywać ustawienia baz danych dzierżawców i przejąć kontrolę nad wszystkimi dzierżawcami.

Ocena ryzyka

Umożliwia eskalację uprawnień z poziomu dzierżawcy do poziomu platformy i przejęcie kontroli nad wszystkimi dzierżawcami. Może skutkować masowym naruszeniem danych i pełną kompromitacją środowiska multi-tenant.

Rekomendacja

Zaktualizuj madong-admin-saas do wersji nowszej niż 5.1.4, jeśli jest dostępna, lub popraw AccessTokenMiddleware, aby prawidłowo rozróżniał tokeny dzierżawców od tokenów platformy. Wdróż rygorystyczną kontrolę autoryzacji dla endpointów /platformapi.

Inne podatności w madong-admin-saas

CVE-2026-120446Krytyczne
madong-admin-saas do wersji 5.1.4 zawiera podatność braku uwierzytelniania w API zarządzania dzierżawcami platformy, ponieważ klucz middleware 'platformapi' nigdy nie pasuje do aplikacji 'platform'. Nieuwierzytelnieni zdalni atakujący mogą wywoływać endpointy /platformapi/tenant/account, bind-plan i sync-data.

Oryginalny opis (angielski, źródło NVD)

madong-admin-saas through 5.1.4 contains an incorrect authorization vulnerability in AccessTokenMiddleware that allows authenticated tenant users to access the platform management API in multi-tenant mode. Attackers can reuse a tenant login JWT against /platformapi controllers to create platform administrator accounts, read tenant database settings, and take control of every tenant.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS