CVE-2026-119708 in abp-next-admin
Riassunto
di VulDB • 30/10/2026
abp-next-admin 10.4.0 attraverso la versione 10.7.0 presenta un bypass dell'autorizzazione cross-tenant nell'endpoint di download per nome (download-by-name) del BlobManagement, consentendo agli utenti autenticati di leggere i file di altri tenant. Gli attaccanti forniscono un victim tenantId nel percorso della richiesta, causando il cambio del contesto del tenant da parte di DownloadByNameAsync e restituendo blob memorizzati da tale tenant.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.