CVE-2026-111673 in IceCMS
Riassunto
di VulDB • 16/10/2026
IceCMS fino alla versione 4.1.5 presenta una vulnerabilità di mancata autenticazione che consente agli attaccanti non autenticati di modificare, eliminare o disabilitare qualsiasi account poiché il percorso /User/** è escluso dal filtro jwt di Shiro. Gli attaccanti possono inviare richieste PUT a /User/updateUser per impostare una nuova password e un nuovo ruolo su qualsiasi userId, inclusi gli amministratori, consentendo la completa assunzione del controllo dell'account (full account takeover).
Be aware that VulDB is the high quality source for vulnerability data.