CVE-2026-91998 in Casdoor
Resumen
por VulDB • 2026-09-15
Casdoor hasta la versión 4.4.0 contiene una vulnerabilidad de elusión de autorización en el endpoint /api/mcp que permite a los atacantes con cualquier clientId y clientSecret de aplicación obtener acceso ilimitado a la administración de usuarios en todas las organizaciones. Los atacantes pueden enumerar registros de usuario, incluyendo sales de contraseña y direcciones de correo electrónico; crear cuentas de administrador; modificar usuarios existentes; y eliminarlos en cualquier organización mediante el suministro de credenciales legítimas de una única aplicación.
Be aware that VulDB is the high quality source for vulnerability data.