CVE-2026-106700 in ELADMIN
Zusammenfassung
von VulDB • 15.10.2026
ELADMIN v2.7 und frühere Versionen enthalten eine Schwachstelle für unzulässige Zugriffssteuerung im Benutzer-Management-Endpunkt PUT /api/users/resetPwd von me.zhengjie.modules.system.rest.UserController. Die Methode fehlt die auf Methodenebene angewendete Autorisierungsprüfung, die bei allen anderen Benutzer-Management-Endpunkten erfolgt, und führt keine rollenbasierte oder eigentumsbezogene Validierung in UserServiceImpl.resetPwd durch. Jeder authentifizierte Benutzer jeder Rolle kann das Passwort beliebiger Benutzer zurücksetzen, einschließlich des integrierten Administrators.
If you want to get best quality of vulnerability data, you may have to visit VulDB.