Podatności Cerebrate
3 znanych podatności CVE w Cerebrate, przetłumaczonych i ocenionych.
- CVE-2025-66385Krytyczne
UsersController::edit w Cerebrate przed wersją 1.30 umożliwia uwierzytelnionemu nieuprzywilejowanemu użytkownikowi eskalację swoich uprawnień (np. uzyskanie wyższej roli, takiej jak admin) poprzez endpoint user-edit przez podanie lub modyfikację pól role_id lub organisation_id w żądaniu edycji.
- CVE-2026-53911Średnie
Cerebrate przed wersją 1.37 pozwalał na przesyłanie pola klucza głównego 'id' przez dane wejściowe podczas operacji edycji CRUD oraz w niektórych procesach patchowania niestandardowych encji. Umożliwiało to uwierzytelnionemu atakującemu złośliwe modyfikowanie rekordów, co prowadziło do aktualizacji niepowiązanych rekordów.
- CVE-2026-53901Wysokie
Cerebrate przed wersją 1.37 zawiera lukę typu mass-assignment w ogólnej ścieżce dodawania CRUD. Funkcja add() nie usuwa poprawnie pola 'id' z danych wejściowych, co pozwala użytkownikowi na ustawienie własnego identyfikatora dla nowego obiektu. Może to prowadzić do nieautoryzowanego tworzenia obiektów z wybranym ID, fałszowania obiektów lub kolizji identyfikatorów.