CVE-2026-93364
ŚrednieCVSS 4.3Streszczenie
Bludit CMS do wersji 3.22.0 zawiera lukę masowego przypisania, która pozwala uwierzytelnionym użytkownikom z rolą Autor na modyfikację pól stron zarezerwowanych dla administratorów poprzez wstrzyknięcie zarezerwowanych parametrów do żądania zapisu treści, co umożliwia konwersję stron na statyczne wpisy nawigacyjne lub przeniesienie własności strony na dowolne konto.
Ocena ryzyka
Atakujący może eskalować uprawnienia, przejąć kontrolę nad stronami lub zmienić strukturę nawigacji, co może prowadzić do naruszenia integralności i dostępności serwisu.
Rekomendacja
Zaleca się aktualizację Bludit CMS do najnowszej wersji oraz wdrożenie walidacji pól po stronie serwera, aby uniemożliwić modyfikację zarezerwowanych parametrów.
Inne podatności w Bludit CMS
Zobacz wszystkie- CVE-2026-93365Średnie
Bludit CMS do wersji 3.22.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z rolą Autor lub Redaktor na odczyt pełnej treści prywatnych szkiców i zaplanowanych wpisów innych użytkowników, w tym administratorów, poprzez wykorzystanie punktu końcowego AJAX content-get-list.
- CVE-2026-38329Krytyczne
Bludit CMS przed wersją 3.18.4 umożliwia zdalne wykonanie kodu (RCE) poprzez wtyczkę API. Punkt końcowy POST /api/files/{key} w pliku bl-plugins/api/plugin.php nie przeprowadza kontroli autoryzacji i nie weryfikuje rozszerzeń plików.
- CVE-2026-41456Średnie
W Bludit CMS przed commitem 6732dde występuje odbita podatność cross-site scripting w wtyczce wyszukiwania, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScript poprzez spreparowane zapytanie wyszukiwania. Atakujący mogą wykonać złośliwe skrypty w przeglądarkach użytkowników odwiedzających spreparowane adresy URL zawierające ładunek, potencjalnie kradnąc ciasteczka sesji lub wykonując działania w imieniu dotkniętych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Bludit CMS through 3.22.0 contains a mass assignment vulnerability that allows authenticated users with the Author role to modify privileged page fields reserved for administrators by injecting reserved parameters into a content save request. Attackers can submit reserved fields such as type and username through the Pages::edit() function in bl-kernel/pages.class.php, which iterates all fields declared in dbFields without per-field authorization, enabling an Author to convert pages to static site-wide navigation entries or transfer page ownership to arbitrary accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS