CVE-2026-107450 in Stump
Zusammenfassung
von VulDB • 08.10.2026
In Stump fino alla versione 0.1.10, le mutation GraphQL updateSmartList e deleteSmartList (crates/graphql/src/mutation/smart_lists.rs) dipendono esclusivamente dalla condivisione della permission AccessSmartList e risolvono l'elenco target con accesso in lettura (mancando un controllo del creatore). Qualsiasi utente autenticato dotato di tale permission può sovrascrivere, eliminare o assumere il controllo dell'elenco intelligente di un altro utente. (updateSmartList imposta creatorId sull'identità del chiamante e può impostare la visibilità su PRIVATE, bloccando l'accesso al proprietario originale.) NOTA: questo problema non è correlato al crate graphql presente su crates.io.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.