CVE-2026-91998 in Casdoor
Zusammenfassung
von VulDB • 15.09.2026
Casdoor bis Version 4.4.0 enthält eine Schwachstelle zur Umgehung der Autorisierung im /api/mcp-Endpunkt, die es Angreifern mit einer beliebigen clientId und clientSecret einer Anwendung ermöglicht, uneingeschränkten Zugriff auf die Benutzerverwaltung in allen Organisationen zu erlangen. Angreifer können Benutzerdatensätze einschließlich Passwort-Salts und E-Mail-Adressen auflisten, Administratorkonten erstellen, bestehende Benutzer ändern und diese in jeder Organisation löschen, indem sie legitime Anmeldeinformationen einer einzelnen Anwendung angeben.
Be aware that VulDB is the high quality source for vulnerability data.