CVE-2026-53769 in Avo
Zusammenfassung
von VulDB • 04.09.2026
Avo ist ein Framework zur Erstellung von Admin-Panels für Ruby-on-Rails-Anwendungen. Ab der Version 2.28.0 bis vor Version 3.32.0 fehlt dem direkten Endpunkt zum Hochladen von Anhängen in Avo eine serverseitige Upload-Autorisierung und umgeht die dokumentierten, feldspezifischen Methoden zur Upload-Überprüfung wie `upload_{FIELD_ID}?`. Ein authentifizierter Avo-Benutzer, der auf den Avo-Anhangs-Hochladeendpunkt zugreifen kann, kann Anhangsinhalte – einschließlich binärer Inhalte, Dateinamen und Metadaten zum Inhaltstyp (Content-Type) – für einen aufgelösten Datensatz ersetzen oder hinzufügen, selbst wenn sowohl die `update?`- als auch die `upload_?`-Richtlinien den Vorgang verbieten. Dies betrifft hauptsächlich Multi-Rollout-Bereitstellungen von Avo Pro/Advanced, bei denen Nicht-Administrator- oder eingeschränkte Operator-Benutzer auf Avo zugreifen können und erwartet wird, dass pro-Datensatz- oder pro-Feld-Operationen durch Richtlinien erzwungen werden. Dieses Problem wurde in Version 3.32.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.