CVE-2026-77036

ELADMIN (eladmin-mp) do wersji 2.7 zawiera podatność niewłaściwej kontroli dostępu w module zarządzania rolami. Endpoint PUT /api/roles/menu autoryzuje żądanie jedynie przez porównanie poziomu roli docelowej z minimalnym poziomem wywołującego, nie walidując przyznawanego zestawu menu ani nie blokując modyfikacji własnej roli. Zalogowany użytkownik niebędący administratorem z uprawnieniem roles:edit może przesłać własne id roli wraz z dowolną listą id menu.

eladmin do wersji 2.7 zawiera podatność obejścia autoryzacji, która pozwala menedżerom użytkowników o zakresie departamentu modyfikować lub usuwać konta poza ich zakresem danych, ponieważ procedury obsługi zapisu pomijają sprawdzanie departamentu. Atakujący z uprawnieniami user:edit lub user:del mogą wysyłać żądania PUT lub DELETE do /api/users z identyfikatorami docelowych użytkowników, aby wyłączyć, przenieść, zmienić lub usunąć konta w innych departamentach.

ELADMIN w wersji 2.7 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu w punkcie końcowym zarządzania użytkownikami PUT /api/users/resetPwd klasy me.zhengjie.modules.system.rest.UserController. Metoda ta nie ma sprawdzania autoryzacji na poziomie metody stosowanego w innych punktach końcowych i nie wykonuje walidacji roli ani własności w UserServiceImpl.resetPwd. Każdy uwierzytelniony użytkownik o dowolnej roli może zresetować hasło dowolnego użytkownika, w tym wbudowanego administratora.

ELADMIN w wersji 2.7 i wcześniejszych jest podatny na Cross Site Scripting (XSS) poprzez komponenty WebSocketServer, SpringSecurityConfig oraz deploy.vue. Nieprawidłowa neutralizacja danych wejściowych pozwala na wstrzyknięcie złośliwego skryptu.

eladmin do commita 55fbf70 zawiera podatność braku autoryzacji w handlerze downloadS3Storage, która pozwala każdemu uwierzytelnionemu użytkownikowi pobierać adresy URL przechowywanych obiektów bez uprawnień do magazynu. Atakujący może enumerować kolejne identyfikatory w żądaniach GET /api/s3Storage/download/{id}, aby zebrać adresy URL wszystkich przesłanych obiektów, ujawniając zawartość plików w publicznie czytelnych bucketach.

Podatność braku autoryzacji w Eladmin do wersji 2.7 w obsłudze uploadPicture w LocalStorageController pozwala użytkownikom z niskimi uprawnieniami na obejście uprawnienia storage:add. Atakujący mogą wysyłać żądania POST z plikami o nazwach obrazów do /api/localStorage/pictures, aby zapisywać pliki w lokalnej pamięci serwera i ujawniać bezwzględne ścieżki serwera.

W aplikacji eladmin do wersji 2.7 wykryto podatność na wstrzykiwanie poleceń w komponencie Application Deployment Module. Atak polega na manipulacji argumentem uploadPath w pliku App.java i może być przeprowadzony zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.