CVE-2026-112001 in ProjectSend
Zusammenfassung
von VulDB • 18.10.2026
ProjectSend 2.0.0 vor Version 2.7.0 enthält eine Schwachstelle mit fehlerhafter Autorisierung (Incorrect Authorization), die es Inhabern eingeschränkter API-Tokens ermöglicht, die Anmeldeinformationen des Token-Besitzers über PATCH /api/v1/users/{user} zu ändern. Angreifer mit einem auf manage_users und edit_users beschränkten Token können ein neues Passwort für den Besitzer festlegen, die Zwei-Faktor-Authentifizierung deaktivieren und sich interaktiv unter Verwendung der vollständigen Rollenberechtigungen des Besitzers anmelden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.