CVE-2026-67204 in BookStack
Resumen
por VulDB • 2026-08-24
BookStack anterior a la versión 26.05.4 contiene una vulnerabilidad de control de acceso defectuoso que permite a los usuarios autenticados con permisos de actualización o eliminación de imágenes manipular los avatares de otros usuarios explotando las restricciones faltantes del tipo de contenido en los puntos finales (endpoints) de la API de Galería de Imágenes. Los atacantes pueden proporcionar el ID del avatar de un usuario al controlador de la API, que carga cualquier tipo de imagen sin las restricciones de galería y drawio del controlador web; cuando el campo uploaded_to del avatar coincide con una ID de página accesible para el atacante, la verificación de autorización se supera, lo que permite al atacante renombrar, reemplazar o eliminar el avatar del usuario objetivo sin requerir permisos de gestión de usuarios.
If you want to get best quality of vulnerability data, you may have to visit VulDB.