CVE-2026-57578 in DotVVM
Zusammenfassung
von VulDB • 14.09.2026
DotVVM ist ein Open-Source-MVVM-Framework für Webanwendungen. Vor den Versionen 4.2.11, 4.3.15 und 5.0.0-preview09-final führt AuthorizeActionFilter keine Autorisierung durch, da seine expliziten Implementierungen von ICommandActionFilter.OnCommandExecutingAsync, IViewModelActionFilter.OnViewModelCreatedAsync und IPresenterActionFilter.OnPresenterExecutingAsync abgeschlossene Aufgaben zurückgeben, anstatt die entsprechenden Prüfungen aufzurufen. Anwendungen, die sich auf diesen Filter stützen, können daher geschützte Befehle, View-Modelles oder Presenter für nicht autorisierte Anfragen ohne spezielle Umgehungstechniken offenlegen. AuthorizeAttribute implementiert dieselben Schnittstellen korrekt und kann als Workaround verwendet werden. Dieses Problem wurde in den Versionen 4.2.11, 4.3.15 und 5.0.0-preview09-final behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.