CVE-2026-93365
ŚrednieCVSS 6.5Streszczenie
Bludit CMS do wersji 3.22.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z rolą Autor lub Redaktor na odczyt pełnej treści prywatnych szkiców i zaplanowanych wpisów innych użytkowników, w tym administratorów, poprzez wykorzystanie punktu końcowego AJAX content-get-list.
Ocena ryzyka
Naruszenie poufności może ujawnić nieopublikowane treści i wrażliwe notatki administratorów, co może prowadzić do wycieku informacji lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację Bludit CMS do najnowszej wersji oraz ograniczenie dostępu do punktu końcowego content-get-list dla nieuprawnionych ról.
Inne podatności w Bludit CMS
Zobacz wszystkie- CVE-2026-93364Średnie
Bludit CMS do wersji 3.22.0 zawiera lukę masowego przypisania, która pozwala uwierzytelnionym użytkownikom z rolą Autor na modyfikację pól stron zarezerwowanych dla administratorów poprzez wstrzyknięcie zarezerwowanych parametrów do żądania zapisu treści, co umożliwia konwersję stron na statyczne wpisy nawigacyjne lub przeniesienie własności strony na dowolne konto.
- CVE-2026-38329Krytyczne
Bludit CMS przed wersją 3.18.4 umożliwia zdalne wykonanie kodu (RCE) poprzez wtyczkę API. Punkt końcowy POST /api/files/{key} w pliku bl-plugins/api/plugin.php nie przeprowadza kontroli autoryzacji i nie weryfikuje rozszerzeń plików.
- CVE-2026-41456Średnie
W Bludit CMS przed commitem 6732dde występuje odbita podatność cross-site scripting w wtyczce wyszukiwania, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScript poprzez spreparowane zapytanie wyszukiwania. Atakujący mogą wykonać złośliwe skrypty w przeglądarkach użytkowników odwiedzających spreparowane adresy URL zawierające ładunek, potencjalnie kradnąc ciasteczka sesji lub wykonując działania w imieniu dotkniętych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Bludit CMS through 3.22.0 contains a missing authorization vulnerability that allows authenticated users holding the Author or Editor role to read the full content of private drafts and scheduled posts belonging to any other user, including administrators, by exploiting the content-get-list AJAX endpoint in bl-kernel/ajax/content-get-list.php. Attackers can send an authenticated GET request to the admin AJAX endpoint with the draft parameter set to true, triggering getList() without ownership constraints and returning serialized page objects site-wide, exposing pre-publication material and sensitive notes stored in administrator-owned drafts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS