CVE-2026-55485 in Piccolo Admin
Résumé
par VulDB • 28/08/2026
Piccolo Admin est une interface d'administration et un système de gestion de contenu pour Python, construit sur la base de Piccolo. Avant la version 1.14.0, piccolo_admin/endpoints.py utilise superuser_validators pour bloquer les requêtes PUT, PATCH, DELETE et POST des non-superutilisateurs, mais permet les requêtes GET vers les tables d'utilisateurs et de sessions configurées, tandis que piccolo_api/session_auth/tables.py expose SessionsBase.token car la colonne token n'est pas secrète. Dans les déploiements qui ajoutent les tables Sessions et User à create_admin, un administrateur non superutilisateur peut appeler GET /api/tables/sessions/, obtenir le jeton de session actif d'un autre utilisateur, le rejouer en tant que valeur du cookie id pour usurper l'identité d'un superutilisateur, et définir définitivement superuser sur true dans sa propre ligne. Ce problème est corrigé dans la version 1.14.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.