CVE-2026-34383
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Admidio przed wersją 5.0.8 zawiera podatność w module inwentarza, gdzie punkt końcowy item_save akceptuje kontrolowany przez użytkownika parametr POST imported, który po ustawieniu na true całkowicie omija walidację tokena CSRF oraz walidację po stronie serwera. Uwierzytelniony użytkownik może wysłać bezpośrednie żądanie POST, aby zapisać dowolne dane elementu inwentarza bez ochrony CSRF i bez sprawdzania wartości pól, które normalnie wymusza FormPresenter.
Ocena ryzyka
Uwierzytelniony atakujący może manipulować danymi inwentarza bez odpowiednich zabezpieczeń, co może prowadzić do nieautoryzowanych zmian w systemie.
Rekomendacja
Zaleca się natychmiastową aktualizację Admidio do wersji 5.0.8 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Admidio is an open-source user management solution. Prior to version 5.0.8, the inventory module's item_save endpoint accepts a user-controllable POST parameter imported that, when set to true, completely bypasses both CSRF token validation and server-side form validation. An authenticated user can craft a direct POST request to save arbitrary inventory item data without CSRF protection and without the field value checks that the FormPresenter validation normally enforces. This issue has been patched in version 5.0.8.