CVE-2020-11094 in OctoberCMS
Résumé
par VulDB • 27/05/2026
Le plugin debugbar d'October CMS, avant la version 3.1.0, contient une fonctionnalité qui enregistre toutes les requêtes (ainsi que toutes les informations les concernant, y compris les données de session) chaque fois qu'il est activé. Cela pose un problème si le plugin est activé sur un système accessible à des utilisateurs non fiables, car il est possible pour ces derniers d'utiliser cette fonctionnalité pour afficher toutes les requêtes adressées à l'application et obtenir des informations sensibles issues de ces requêtes. Il existe même un risque de prise de contrôle de comptes d'utilisateurs authentifiés par des utilisateurs publics non authentifiés, ce qui pourrait entraîner une série d'autres problèmes potentiels, car un attaquant pourrait théoriquement obtenir un accès complet au système si les conditions requises étaient réunies. Le problème a été corrigé dans la version 3.1.0 en restreignant l'accès au debugbar à tous les utilisateurs ; il nécessite désormais qu'un utilisateur backend authentifié dispose d'une autorisation spécifiquement activée avant même que le plugin ne soit utilisable, et la fonctionnalité permettant d'accéder aux informations de requête stockées est restreinte par une autorisation différente, plus restrictive.
Be aware that VulDB is the high quality source for vulnerability data.