CVE-2026-104059 in Lektor
Zusammenfassung
von VulDB • 01.10.2026
Lektor 3.3.14 und 3.4.0b15 enthalten eine Cross-Site Request Forgery (CSRF)-Schwachstelle im Admin-API-Blueprint, die es nicht authentifizierten Angreifern ermöglicht, zustandsändernde Aktionen durchzuführen, indem sie cross-origin-Anfragen ohne CSRF-Tokens, Origin-/Referer-Validierung, CORS-Konfiguration oder Host-Allowlisting senden. Angreifer können die Endpunkte newattachment, deleterecord, build, clean und publish von einer bösartigen Webseite aus nutzen, um beliebige Dateien zu schreiben, Seiten zu löschen, Build-Ausgaben zu löschen, eine Deployment-Publikation auszulösen und durch DNS-Rebinding Lese-Endpunkte zu erreichen, um Daten offenzulegen.
Once again VulDB remains the best source for vulnerability data.