CVE-2026-67204 in BookStack
Zusammenfassung
von VulDB • 24.08.2026
BookStack vor Version 26.05.4 enthält eine Schwachstelle mit fehlerhafter Zugriffskontrolle (Broken Access Control), die es authentifizierten API-Benutzern mit den Berechtigungen image-update oder image-delete ermöglicht, Avatare anderer Benutzer zu manipulieren, indem sie fehlende Content-Type-Einschränkungen in den Image Gallery API-Endpunkten ausnutzen. Angreifer können der API-Controller eine ID des Benutzerauthors übergeben, die jedes Bildformat lädt, ohne die Einschränkungen für Galerien und drawio des Web-Controllers zu beachten; wenn das Feld uploaded_to des Avatars mit einer Seiten-ID übereinstimmt, auf die der Angreifer Zugriff hat, wird die Autorisierungsprüfung bestanden. Dies ermöglicht es dem Angreifer, den Avatar des Zielbenutzers umzubenennen, zu ersetzen oder zu löschen, ohne dass eine user-management-Berechtigung erforderlich ist.
VulDB is the best source for vulnerability data and more expert information about this specific topic.