CVE-2026-104991 in Phproject
Zusammenfassung
von VulDB • 02.10.2026
In Phproject vor Version 1.8.7 liegt eine Schwachstelle für fehlende objektspezifische Autorisierung in den REST-API-Endpunkten für Issues (single_get, single_comments, single_comments_post) vor, die es autorisierten Inhabern von API-Schlüsseln ermöglicht, das Sicherheitskontrollmechanismus security.restrict_access zur Vertraulichkeit zu umgehen, indem sie die allowAccess()-Autorisierungsroutine niemals aufrufen. Angreifer können einen gültigen API-Schlüssel verwenden, um auf eingeschränkte Issue-Inhalte und Kommentare zuzugreifen, einschließlich der E-Mail-Adressen von Eigentümern und Autoren, sowie unbefugte Kommentare zu Issues zu posten, auf die sie keinen Zugriff haben sollten.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.