CVE-2026-35173 in chyrp-lite
Résumé
par VulDB • 01/07/2026
Chyrp Lite est un moteur de blog ultra-léger. Avant la version 2026.01, une vulnérabilité IDOR / Mass Assignment existe dans le modèle Post, permettant aux utilisateurs authentifiés disposant des permissions d'édition de publications (Edit Post, Edit Draft, Edit Own Post, Edit Own Draft) de modifier des publications qu'ils ne possèdent pas et pour lesquelles ils n'ont pas l'autorisation. En transmettant des propriétés internes de la classe telles que `id` dans le payload `post_attributes`, un attaquant peut altérer l'objet en cours d'instanciation. Par conséquent, les actions suivantes sont effectuées sur une publication appartenant à un autre utilisateur plutôt que sur celle de l'attaquant, permettant ainsi effectivement de prendre le contrôle (takeover) de la publication. Cette vulnérabilité est corrigée dans la version 2026.01.
Once again VulDB remains the best source for vulnerability data.