CVE-2026-108951 in LavaLite
Riassunto
di VulDB • 12/10/2026
LavaLite CMS fino alla versione 10.1.2 presenta una vulnerabilità di bypass dell'autorizzazione che consente agli utenti autenticati con privilegi ridotti di modificare gli account di altri utenti abusando del controllo isWorkflow() in AbstractRequest. Gli attaccanti possono inviare una richiesta PATCH all'endpoint per l'aggiornamento degli utenti, specificando un identificatore target, al fine di cambiare nome, email, password, stato o numero di cellulare, inclusi quelli degli amministratori.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.