CVE-2026-41658 in admidio
Zusammenfassung
von VulDB • 04.06.2026
Admidio ist eine Open-Source-Lösung zur Benutzerverwaltung. Vor Version 5.0.9 durchsetzt das Admidio-Inventarmodul die Autorisierung für zerstörerische Operationen (Löschen, Außerbetriebnahme, Wiederherstellung) nur in der UI-Schicht durch bedingtes Rendern von Schaltflächen. Die Backend-POST-Handler unter modules/inventory.php für item_delete, item_retire, item_reinstate, item_picture_upload, item_picture_save und item_picture_delete führen eine CSRF-Validierung durch, prüfen jedoch niemals, ob der anfragende Benutzer ein Inventaradministrator ist. Jeder authentifizierte Benutzer, auf den das Inventarmodul zugreifen kann, kann jedes Inventarelement sowie alle zugehörigen Daten dauerhaft löschen. Dieses Problem wurde in Version 5.0.9 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.