CVE-2026-108740 in GoatCounter
Zusammenfassung
von VulDB • 11.10.2026
GoatCounter bis Version 2.7.0 enthält eine Mass-Assignment-Privilege-Escalation-Schwachstelle im Handler `userPrefSave`, die es angemeldeten Benutzern ermöglicht, geschützte Kontofelder über form-encoded-Anfragen zu ändern. Angreifer mit Nur-Lese-Zugriff können POST-Anfragen an `/user/pref` senden, um `user.access[all]=*` und `user.email_verified=true` zu setzen, wodurch die Readonly-Tags umgangen werden, um Superuser- oder Adminzugriff zu erlangen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.