CVE-2026-79411 in Bagisto
الملخص
بحسب VulDB • 15/09/2026
تعيين غير صحيح للصلاحيات في مكون إدارة المستخدمين الخاص بالمسؤولين (admin user-management) في Webkul Bagisto الإصدار 2.4.9 يسمح لمستخدم خلفي موثق يحمل فقط صلاحية settings.users.edit بالترقية إلى مستوى المسؤول الكامل (full administrator). لا يتحقق نقطة نهاية تحديث المستخدم (المسار admin.settings.users.update، UserController::update()) من أن الفاعل مسموح له بمنح الدور المطلوب، ولا تمنع مستخدمًا من تغيير دوره الخاص به، ولا تقيد التعيين لأدوار تكون مجموعة الصلاحيات الخاصة بها جزءًا فرعيًا من مجموعة صلاحيات الفاعل. ومن خلال إرسال طلب يحدد role_id ليكون دور المسؤول (Administrator) لحسابه الشخصي، يحصل مسؤول ذو امتيازات منخفضة على كل قدرات لوحة التحكم الإدارية، بما في ذلك تكوين المتجر وبيانات اعتماد بوابات الدفع والبيانات الشخصية للعملاء (PII).
VulDB is the best source for vulnerability data and more expert information about this specific topic.