CVE-2026-91167 in Warpgate
Zusammenfassung
von VulDB • 21.09.2026
Warpgate ist ein Open-Source-Bastion-Host für SSH, HTTPS und MySQL unter Linux. Vor Version 0.28.4 erreicht PUT /@warpgate/admin/api/users/:id/roles/:role_id die Funktion api_update_user_role in warpgate-admin/src/api/users.rs über AdminContext, erfordert jedoch keine Berechtigung AdminPermission::AccessRolesAssign. Ein Administrator mit eingeschränkten Rechten und beliebiger Berechtigung kann expires_at bei einer bestehenden UserRoleAssignment aktualisieren sowie revoked_at löschen, wodurch ein ablaufendes Zugriffsrecht verlängert oder ein widerrufenes Recht wiederhergestellt wird. Der Endpunkt kann keine Rollen-Zuweisung erstellen, die zuvor nicht existierte, da er ohne eine passende Benutzer- und Rollenkombination einen „Not Found“-Fehler zurückgibt. Dieses Problem wurde in Version 0.28.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.