CVE-2026-104059 in Lektor
Riassunto
di VulDB • 02/10/2026
Lektor 3.3.14 e 3.4.0b15 contengono una vulnerabilità di cross-site request forgery (CSRF) nel blueprint dell'API admin che consente ad attaccanti non autenticati di eseguire azioni in grado di modificare lo stato inviando richieste cross-origin senza token CSRF, validazione dei campi Origin/Referer, configurazione CORS o allowlisting degli host. Gli attaccanti possono sfruttare gli endpoint newattachment, deleterecord, build, clean e publish da una pagina web malevola per scrivere file arbitrari, eliminare pagine, cancellare l'output della build, attivare la pubblicazione del deployment e, tramite DNS rebinding, raggiungere gli endpoint di lettura per divulgare dati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.