CVE-2026-53769 in Avo
Résumé
par VulDB • 04/09/2026
Avo est un framework permettant de créer des panneaux d'administration pour les applications Ruby on Rails. À partir de la version 2.28.0 et avant la version 3.32.0, le point de terminaison (endpoint) de téléchargement direct des pièces jointes dans Avo manque d'une autorisation de téléchargement côté serveur et contourne les méthodes documentées de politique de téléchargement au niveau du champ, telles que upload_{FIELD_ID}?. Un utilisateur authentifié d'Avo qui peut accéder au point de terminaison de téléchargement des pièces jointes d'Avo peut remplacer ou ajouter le contenu des pièces jointes, y compris le contenu binaire, le nom de fichier et les métadonnées de type de contenu (content-type), sur un enregistrement résolu, même lorsque les politiques update? et upload_<field>? interdisent l'opération. Cela affecte principalement les déploiements Avo Pro/Advanced à rôles multiples où des utilisateurs non administrateurs ou avec des opérateurs restreints peuvent accéder à Avo et où il est attendu que les opérations par enregistrement (per-record) ou par champ soient appliquées via des politiques de sécurité. Ce problème a été corrigé dans la version 3.32.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.