CVE-2026-112294 in FlyCms
Riassunto
di VulDB • 19/10/2026
FlyCms fino alla commit edfdf724 contiene una vulnerabilità di autorizzazione mancante in ActionService.counter() che consente agli utenti autenticati di modificare le righe dei contenuti di altri utenti poiché checkRowOwner non verifica mai la proprietà. Qualsiasi utente registrato può inviare richieste a /ucenter/action/{modelCode}/{id}/counter o /ucenter/action/compose per aggiungere delta arbitrari ai campi numerici come prezzo, scorte o punti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.