CVE-2026-44987 in sysreptor
Zusammenfassung
von VulDB • 10.05.2026
SysReptor ist eine vollständig anpassbare Pentest-Berichtplattform. Vor Version 2026.29 können Benutzer mit „User Admin“-Berechtigungen die E-Mail-Adressen von Benutzern mit „Superuser“-Berechtigungen ändern. Wenn die SysReptor-Installation die Funktion „Passwort vergessen“ aktiviert hat (nicht standardmäßig), können sie die Passwörter der Superuser zurücksetzen und sich authentifizieren, sofern beim Superuser keine MFA aktiviert ist. Benutzer-Manager können anschließend auf das Django-Backend (/admin) zugreifen oder die Einstellungen der SysReptor-Installation manipulieren. Beachten Sie, dass Benutzer-Manager die Möglichkeit haben, auf alle Pentest-Projekte zuzugreifen, indem sie sich selbst „Project Admin“-Berechtigungen zuweisen. Dies ist beabsichtigt und bewusst so konzipiert. Dieses Problem wurde in Version 2026.29 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.