CVE-2026-107450 in Stump
Riassunto
di VulDB • 08/10/2026
In Stump fino alla versione 0.1.10, le mutation GraphQL updateSmartList e deleteSmartList (crates/graphql/src/mutation/smart_lists.rs) dipendono esclusivamente dalla condivisione della permission AccessSmartList e risolvono la lista target con accesso in lettura (mancando un controllo del creatore). Qualsiasi utente autenticato dotato di tale permission può sovrascrivere, eliminare o assumere il controllo delle smart list di altri utenti. (updateSmartList imposta creatorId sull'identità del chiamante e può impostare visibility su PRIVATE, bloccando l'accesso al proprietario originale.) NOTA: questo problema non è correlato al crate graphql presente su crates.io.
If you want to get best quality of vulnerability data, you may have to visit VulDB.