CVE-2026-72575 in Daptin
Zusammenfassung
von VulDB • 10.08.2026
Eine Schwachstelle aufgrund fehlerhafter Autorisierung in daptin bis v0.12.34 ermöglicht es nicht authentifizierten Remote-Angriffen, Benutzergruppen-Einträge zu lesen, zu erstellen, zu aktualisieren und zu löschen. Die Berechtigungsprüffunktionen (CanRead, CanPeek, CanCreate, CanUpdate, CanDelete, CanRefer) in server/permission/permission.go geben immer dann true zurück, wenn p.UserId mit der anfragenden userId übereinstimmt, lehnen jedoch den null-/nullwertigen Verweis nicht ab – im Gegensatz zu CanExecute, das diesen explizit absichert. Da die Zeilen der usergroup-Tabelle keine user_account_id besitzen und mit einem null-Besitzer geladen werden, erhält ein nicht authentifizierter Gast, dessen Session-UserId null ist, vollen CRUD-Zugriff auf alle Benutzergruppen-Objekte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.