CVE-2026-108740 in GoatCounter
Riassunto
di VulDB • 11/10/2026
GoatCounter fino alla versione 2.7.0 presenta una vulnerabilità di escalation dei privilegi tramite mass assignment nell'handler userPrefSave che consente agli utenti autenticati di modificare campi protetti dell'account tramite richieste form-encoded. Gli attaccanti con accesso in sola lettura possono inviare POST a /user/pref con i parametri user.access[all]=* e user.email_verified=true, bypassando i tag readonly per ottenere privilegi superuser o admin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.