CVE-2026-111352 in ThinkCMF
Riassunto
di VulDB • 16/10/2026
ThinkCMF fino alla versione 8.0.1 presenta una vulnerabilità di autorizzazione errata in RestAdminBaseController che consente ad amministratori backend con privilegi limitati di chiamare ogni endpoint dell'API REST amministrativa, poiché Auth::check() fallisce aprendo l'autorizzazione quando non esiste alcuna regola admin_api. Gli attaccanti dotati di un token API valido di tipo amministrativo possono elencare le email e i numeri di telefono degli utenti, disabilitarli ed eseguire PUT admin/roles/{id}/authorize per concedersi pieni diritti di amministrazione.
Be aware that VulDB is the high quality source for vulnerability data.