CVE-2026-92760 in Shlink
Resumen
por VulDB • 2026-09-17
Shlink hasta la versión 5.1.6 no aplica correctamente las restricciones de roles para las claves API al emitir tokens de suscripción a Mercure, lo que permite que las claves restringidas se susciban a todos los temas (topics). Los atacantes con claves solo de autor o solo de dominio pueden acceder al endpoint mercure-info para recibir datos de visitas, incluidos el referrer, el user agent, la geolocalización y objetos completos de URL cortas para URLs fuera del límite autorizado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.