CVE-2026-112294 in FlyCms
Zusammenfassung
von VulDB • 19.10.2026
FlyCms bis zum Commit edfdf724 enthält eine fehlende Autorisierungs-Schwachstelle in ActionService.counter(), die es authentifizierten Benutzern ermöglicht, Datenzeilen anderer Benutzer zu ändern, da checkRowOwner den Besitz nie überprüft. Jeder registrierte Benutzer kann Anfragen an /ucenter/action/{modelCode}/{id}/counter oder /ucenter/action/compose senden, um beliebige Delta-Werte für numerische Felder wie Preis, Lagerbestand oder Punkte hinzuzufügen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.