CVE-2026-88617
NieznaneStreszczenie
SmartAdmin w wersji 3.30.0 zawiera błąd autoryzacji w punkcie końcowym zapytań konfiguracyjnych. Pozwala to zdalnemu atakującemu na eskalację uprawnień.
Ocena ryzyka
Zdalny atakujący może wykorzystać błąd autoryzacji do podniesienia swoich uprawnień, co może prowadzić do uzyskania dostępu do funkcji administracyjnych i danych. Stanowi to poważne naruszenie kontroli dostępu.
Rekomendacja
Zaktualizuj SmartAdmin do wersji, która naprawia tę podatność, lub wdróż poprawne kontrole autoryzacji w punkcie końcowym zapytań konfiguracyjnych. Przeprowadź audyt uprawnień w całej aplikacji.
Inne podatności w SmartAdmin
Zobacz wszystkie- CVE-2026-88620Nieznane
SmartAdmin API Java17 SpringBoot3 w wersji 3.30.0 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym /employee/queryAll. Punkt końcowy nie egzekwuje wymaganych uprawnień na poziomie funkcji ani autoryzacji zakresu danych, co pozwala uwierzytelnionemu pracownikowi o niskich uprawnieniach na pobranie rekordów pracowników należących do innych działów i użytkowników.
- CVE-2026-88619Nieznane
1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność braku autoryzacji w module zarządzania zadaniami zaplanowanymi. AdminSmartJobController udostępnia punkty końcowe zarządzania zadaniami zaplanowanymi bez kontroli uprawnień na poziomie metody, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do funkcji przeznaczonych dla uprawnionych administratorów.
- CVE-2026-88618Nieznane
1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
SmartAdmin v3.30.0 contains an authorization flaw in the configuration query endpoint. This allows a remote attacker to escalate privileges.