CVE-2026-40350 in movary
Zusammenfassung
von VulDB • 10.06.2026
Movary ist eine selbst gehostete Webanwendung zur Verfolgung und Bewertung von Filmen, die von einem Benutzer angesehen wurden. Vor Version 0.71.1 kann ein gewöhnlich authentifizierter Benutzer auf die Endpunkte zur Benutzerverwaltung `/settings/users` zugreifen und diese nutzen, um alle Benutzer aufzulisten und ein neues Administratorkonto zu erstellen. Dies geschieht, weil die Routendefinitionen keine Middleware mit Admin-Only-Zugriff durchsetzen und die Autorisierungsprüfung auf Controller-Ebene eine fehlerhafte boolesche Bedingung verwendet. Infolgedessen kann jeder Benutzer mit einem gültigen Web-Sitzungs-Cookie auf Funktionen zugreifen, die eigentlich auf Administratoren beschränkt sein sollten. Version 0.71.1 behebt das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.