CVE-2026-52466
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Open Library Foundation VuFind w wersjach v11.0.3 i v4.1 jest podatny na nieprawidłową kontrolę dostępu. Aplikacja nie przerywa przetwarzania przychodzącego żądania w VuFind\Controller\AbstractBase::validateAccessPermission po stwierdzeniu, że uprawnienia dostępu na poziomie kontrolera nie zezwalają na dostęp do żądanej funkcji. Żądający otrzymuje odpowiedź o odmowie dostępu, ale faktyczna funkcja jest wykonywana mimo to.
Ocena ryzyka
Umożliwia to nieautoryzowanym użytkownikom wykonywanie operacji, do których nie mają uprawnień, co może prowadzić do naruszenia poufności lub integralności danych.
Rekomendacja
Zaktualizuj VuFind do wersji zawierającej poprawkę lub zastosuj obejście polegające na ręcznym zatrzymaniu przetwarzania po wykryciu braku uprawnień.
Oryginalny opis (angielski, źródło NVD)
Open Library Foundation VuFind v11.0.3 and v4.1 is vulnerable to toInorrect Access Control. The application fails to stop processing an incoming request in VuFind\Controller\AbstractBase::validateAccessPermission after it has found that controller level access permissions do not allow access to the requested function. The requester receives a response indicating that access was denied, but the actual function is executed regardless of that.