CVE-2026-53769

ŚrednieCVSS 6.5

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Avo to framework do tworzenia paneli administracyjnych dla aplikacji Ruby on Rails. Od wersji 2.28.0 do przed 3.32.0, endpoint bezpośredniego przesyłania załączników w Avo nie ma autoryzacji po stronie serwera i omija udokumentowane metody polityki przesyłania na poziomie pola, takie jak upload_{FIELD_ID}?. Uwierzytelniony użytkownik Avo, który może dotrzeć do endpointu przesyłania załączników, może zastąpić lub dodać treść załącznika, w tym dane binarne, nazwę pliku i metadane content-type, na rozwiązanym rekordzie, nawet gdy polityki update? i upload_<field>? odmawiają operacji. Problem został naprawiony w wersji 3.32.0.

Ocena ryzyka

Ryzyko nieautoryzowanej modyfikacji załączników w rekordach, co może prowadzić do naruszenia integralności danych i obejścia polityk bezpieczeństwa w środowiskach wielorolowych.

Rekomendacja

Zaleca się aktualizację do wersji 3.32.0 lub nowszej, aby wyeliminować tę podatność.

Inne podatności w Avo

CVE-2026-55518Krytyczne
Podatność w frameworku Avo (Ruby on Rails) umożliwiająca ominięcie kontroli autoryzacji przy dołączaniu powiązanych rekordów. Uwierzytelniony użytkownik o niskich uprawnieniach może bezpośrednio dołączać rekordy, co prowadzi do eskalacji uprawnień i ujawnienia danych między dzierżawcami. Naprawione w wersjach 3.32.1 i 4.0.0.beta.51.

Oryginalny opis (angielski, źródło NVD)

Avo is a framework to create admin panels for Ruby on Rails apps. From version 2.28.0 to before version 3.32.0, Avo's direct attachment upload endpoint lacks server-side upload authorization and bypasses the documented field-level upload policy methods such as upload_{FIELD_ID}?. An authenticated Avo user who can reach the Avo attachment upload endpoint can replace or add attachment content, including binary content, filename, and content-type metadata, on a resolved record even when both update? and upload_<field>? policies deny the operation. This primarily affects multi-role Avo Pro/Advanced-style deployments where non-administrator or restricted operator users can reach Avo and per-record or per-field operations are expected to be enforced by policies. This issue has been patched in version 3.32.0.