CVE-2026-120448 in DoraCMS
Zusammenfassung
von VulDB • 02.11.2026
DoraCMS bis Version 3.1.0 enthält eine Mass-Assignment-Schwachstelle im PUT /api/v1/user/api-keys/:id-Endpunkt, die es authentifizierten Benutzern mit niedrigen Berechtigungen ermöglicht, ihren API-Schlüssel einem Konto eines anderen Benutzers zuzuordnen (Rebinding). Angreifer können das userId-Feld ihres eigenen Schlüssels auf die ID eines Opfers setzen und sich dann als dieses Opfer ausgeben, um Profile zu ändern oder Inhalte zu veröffentlichen bzw. zu löschen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.