CVE-2026-31070
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
LalanaChami Pharmacy Management System (commit 5c3d028) pozwala nieuwierzytelnionym atakującym na eskalację uprawnień poprzez samodzielne przypisanie roli administracyjnej podczas rejestracji. Endpoint /api/user/signup nie waliduje parametru roli.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp administracyjny do systemu zarządzania apteką, co prowadzi do kradzieży danych i manipulacji.
Rekomendacja
Zaimplementuj walidację roli na endpointcie rejestracji lub ogranicz możliwość rejestracji tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The LalanaChami Pharmacy Management System (commit 5c3d028) allows unauthenticated remote attackers to escalate privileges by self-assigning an administrative role during registration. The /api/user/signup endpoint fails to validate the role parameter in the request body