CVE-2026-38329

Bludit CMS w wersji do 3.22.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom z rolą Autora na wyliczanie i usuwanie plików multimedialnych należących do stron innych użytkowników, w tym administratorów, poprzez podanie dowolnych parametrów uuid do niechronionych punktów końcowych AJAX. Atakujący mogą pobrać identyfikatory UUID stron wszystkich użytkowników za pomocą punktu końcowego content-get-list, a następnie wysłać spreparowane żądania POST do punktów końcowych list-images i delete-image w bl-kernel/ajax/, aby uzyskać dostęp i zniszczyć pliki multimedialne poza własnymi stronami, omijając kontrolę izolacji IMAGE_RESTRICT.

Bludit CMS do wersji 3.22.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z rolą Autor lub Redaktor na odczyt pełnej treści prywatnych szkiców i zaplanowanych wpisów innych użytkowników, w tym administratorów, poprzez wykorzystanie punktu końcowego AJAX content-get-list.

Bludit CMS do wersji 3.22.0 zawiera lukę masowego przypisania, która pozwala uwierzytelnionym użytkownikom z rolą Autor na modyfikację pól stron zarezerwowanych dla administratorów poprzez wstrzyknięcie zarezerwowanych parametrów do żądania zapisu treści, co umożliwia konwersję stron na statyczne wpisy nawigacyjne lub przeniesienie własności strony na dowolne konto.

W Bludit CMS przed commitem 6732dde występuje odbita podatność cross-site scripting w wtyczce wyszukiwania, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScript poprzez spreparowane zapytanie wyszukiwania. Atakujący mogą wykonać złośliwe skrypty w przeglądarkach użytkowników odwiedzających spreparowane adresy URL zawierające ładunek, potencjalnie kradnąc ciasteczka sesji lub wykonując działania w imieniu dotkniętych użytkowników.