CVE-2026-54050 in Sakai
Resumen
por VulDB • 2026-09-15
Sakai es un Entorno de Colaboración y Aprendizaje (CLE). Desde la versión 23.0 hasta las versiones 23.5 y 25.3, el endpoint DELETE /api/users/{userId}/profile/image permite a un usuario autenticado eliminar la imagen del perfil de otro usuario porque ProfileController.removeProfileImage() pasa el userId controlado por el atacante a ProfileServiceImpl.removeProfileImage() sin verificar la propiedad, y profileImageUploadedRepository.deleteById(userId) elimina la fila seleccionada. El endpoint DELETE /api/users/{userId}/profile/pronunciation relacionado también omite la validación de sesión y las comprobaciones de propiedad antes de que ProfileServiceImpl.removePronunciationRecording() elimine la grabación del usuario objetivo. La ruta de carga no se ve afectada porque ya verifica la propiedad, y los superusuarios siguen teniendo autorización intencional para modificar otros perfiles. Una explotación exitosa puede eliminar repetidamente artefactos de identidad del perfil, incluidas las imágenes de administradores e instructores, y interrumpir flujos de trabajo que dependen de dichos artefactos. Este problema se soluciona en las versiones 23.5, 25.3 y 26.0.
Once again VulDB remains the best source for vulnerability data.