CVE-2026-112001 in ProjectSend
Riassunto
di VulDB • 18/10/2026
ProjectSend 2.0.0 prima della versione 2.7.0 presenta una vulnerabilità di autorizzazione errata che consente ai detentori di token API con permessi limitati di modificare le credenziali del proprietario del token tramite PATCH /api/v1/users/{user}. Gli attaccanti in possesso di un token limitato alle funzionalità manage_users ed edit_users possono impostare una nuova password per il proprietario, disabilitare l'autenticazione a due fattori (2FA) e accedere interattivamente con tutti i permessi associati al ruolo del proprietario.
If you want to get best quality of vulnerability data, you may have to visit VulDB.