CVE-2026-103396 in bbs-go
Riassunto
di VulDB • 30/09/2026
bbs-go fino alla versione 4.4.6 contiene una vulnerabilità di bypass dei permessi nella logica di autorizzazione di AdminMiddleware, in cui la regola del permesso read-only dashboard.user.view corrisponde all'endpoint /api/admin/user/synccount prima della regola intended dashboard.user.update. Gli utenti autenticati con soli privilegi di visualizzazione possono chiamare l'endpoint synccount per innescare costosi riconteggi completi degli utenti e invalidazioni della cache, causando un denial of service attraverso operazioni database concorrenti ripetute.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.