CVE-2026-120446

KrytyczneCVSS 9.4

Opublikowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

madong-admin-saas do wersji 5.1.4 zawiera podatność braku uwierzytelniania w API zarządzania dzierżawcami platformy, ponieważ klucz middleware 'platformapi' nigdy nie pasuje do aplikacji 'platform'. Nieuwierzytelnieni zdalni atakujący mogą wywoływać endpointy /platformapi/tenant/account, bind-plan i sync-data.

Ocena ryzyka

Atakujący bez uwierzytelnienia może listować, tworzyć, modyfikować, wyłączać i usuwać dzierżawców oraz przypisywać plany subskrypcji, co stanowi poważne naruszenie izolacji i kontroli dostępu.

Rekomendacja

Zaktualizuj madong-admin-saas do wersji nowszej niż 5.1.4 i zweryfikuj poprawność mapowania middleware 'platformapi' do aplikacji 'platform'.

Inne podatności w madong-admin-saas

CVE-2026-120445Wysokie
madong-admin-saas do wersji 5.1.4 zawiera podatność nieprawidłowej autoryzacji w AccessTokenMiddleware, która pozwala uwierzytelnionym użytkownikom dzierżawcy na dostęp do API zarządzania platformą w trybie multi-tenant. Atakujący może użyć JWT logowania dzierżawcy przeciwko kontrolerom /platformapi, aby tworzyć konta administratorów platformy, odczytywać ustawienia baz danych dzierżawców i przejąć kontrolę nad wszystkimi dzierżawcami.

Oryginalny opis (angielski, źródło NVD)

madong-admin-saas through 5.1.4 contains a missing authentication vulnerability in the platform tenant management API because the 'platformapi' middleware key never matches the 'platform' application. Unauthenticated remote attackers can call /platformapi/tenant/account, bind-plan and sync-data endpoints to list, create, modify, disable or delete tenants and bind subscription plans.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS