CVE-2026-42562

WysokieCVSS 8.3

Opublikowano: 09/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Plainpad, samodzielnie hostowana aplikacja do notatek, przed wersją 1.1.1 pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na samodzielną eskalację do administratora poprzez przesłanie admin=true w żądaniu PUT /api.php/v1/users/{id}. Punkt końcowy bezpośrednio zapisuje atrybut admin z danych wejściowych użytkownika, a eskalowane konto natychmiast uzyskuje dostęp do tras tylko dla administratora.

Ocena ryzyka

Każdy uwierzytelniony użytkownik może uzyskać pełne uprawnienia administracyjne, co umożliwia przejęcie kontroli nad aplikacją i dostęp do wszystkich danych.

Rekomendacja

Należy zaktualizować Plainpad do wersji 1.1.1 lub nowszej.

Inne podatności w Plainpad

CVE-2026-73529Średnie
Plainpad do wersji 1.1.1 zawiera brak ograniczeń tempa żądań, co pozwala nieuwierzytelnionym atakującym na wysyłanie nieograniczonej liczby prób logowania do punktu końcowego POST /v1/sessions. Martwy kod w App\Http\Kernel.php powoduje, że konfiguracja throttlingu nie jest podpięta do żadnej trasy. Atakujący mogą również powodować wyczerpanie CPU przez wielokrotne porównania bcrypt.

Oryginalny opis (angielski, źródło NVD)

Plainpad is a self hosted note taking app. Prior to version 1.1.1, Plainpad allows a low-privilege authenticated user to self-escalate to administrator by submitting admin=true in PUT /api.php/v1/users/{id}. The endpoint directly persists the admin attribute from user input, and the escalated account can immediately access admin-only routes. This issue has been patched in version 1.1.1.