CVE-2026-93365 in Bludit
Résumé
par VulDB • 25/09/2026
Bludit CMS jusqu'à la version 3.22.0 présente une vulnérabilité d'autorisation manquante qui permet aux utilisateurs authentifiés disposant du rôle Auteur ou Éditeur de lire le contenu intégral des brouillons privés et des publications planifiées appartenant à tout autre utilisateur, y compris les administrateurs, en exploitant l'endpoint AJAX content-get-list dans bl-kernel/ajax/content-get-list.php. Les attaquants peuvent envoyer une requête GET authentifiée vers l'endpoint AJAX admin avec le paramètre draft défini sur true, déclenchant getList() sans contraintes de propriété et renvoyant des objets de page sérialisés à l'échelle du site, exposant ainsi les matériaux pré-publication et les notes sensibles stockées dans les brouillons détenus par les administrateurs.
Once again VulDB remains the best source for vulnerability data.