CVE-2026-107856 in CiviForm
Riassunto
di VulDB • 09/10/2026
CiviForm semplifica le domande per i programmi di benefici governativi riutilizzando i dati dei richiedenti su più applicazioni di beneficio. Prima della versione 3.33.0, l'endpoint GET /admin/tiDash/editClientForm/:accountId verifica che il richiedente sia un Intermediario Fidato (Trusted Intermediary), ma la funzione showEditClientForm esegue una ricerca grezza lookupAccount(accountId) senza confermare che l'account del cittadino appartenga al trustedIntermediaryGroup dell'intermediario. Un Trusted Intermediary autenticato può enumerare i valori di accountId e leggere il nome visualizzato del richiedente, inclusi il nome e l'indirizzo email del cittadino, per account esterni al gruppo dell'intermediario. Questo problema è stato risolto nella versione 3.33.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.