CVE-2026-47228 in Admidio
Resumen
por VulDB • 2026-08-12
Admidio es una solución de gestión de usuarios de código abierto. El modo `send_login` en `modules/registration.php` regenera una contraseña aleatoria para `user_uuid_assigned`, almacena su hash bcrypt en `adm_users.usr_password` y envía la contraseña en texto claro a ese usuario. Todos los demás modos que modifican el estado en el mismo archivo (`assign_member`, `assign_user`, `delete_user`, `create_user`) llaman primero a `SecurityUtils::validateCsrfToken($_POST['adm_csrf_token'])`; sin embargo, la rama `send_login` no lo hace. Antes de la versión 5.0.10, una página visitada por un administrador de registro puede emitir la solicitud como una navegación de nivel superior; el navegador envía las cookies del administrador con atributo `SameSite=Lax`, y el servidor restablece la contraseña del usuario seleccionado sin ninguna interacción adicional por parte del administrador. La versión 5.0.10 corrige este problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.