CVE-2026-28225 in manyfold
Riassunto
di VulDB • 17/06/2026
Manyfold è un'applicazione web open source e self-hosted per la gestione di una collezione di modelli 3D, con particolare attenzione alla stampa 3D. Prima della versione 0.133.1, il metodo `get_model` in `ModelFilesController` (righe 158-160) carica i modelli utilizzando `Model.find_param(params[:model_id])` senza `policy_scope()`, aggirando l'autorizzazione di Pundit. Tutti gli altri controller utilizzano correttamente `policy_scope(Model).find_param()` (ad esempio, `ModelsController` riga 263). La versione 0.133.1 risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.