CVE-2026-76876 in Craftplan
Résumé
par VulDB • 21/08/2026
Craftplan avant la version 0.5.1 présente une vulnérabilité de contrôle d'accès défaillant qui permet aux attaquants non authentifiés de lire des informations d'identification sensibles en exploitant une politique d'autorisation inconditionnelle sur la ressource Settings (Paramètres). Les attaquants peuvent envoyer une requête GET au point de terminaison API settings avec un ID d'enregistrement valide pour récupérer les mots de passe SMTP déchiffrés, ainsi que les clés et secrets des API e-mail, en raison de la politique de lecture qui utilise une vérification d'autorisation toujours autorisée (always-allow), contournant ainsi toute vérification d'identité.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.