CVE-2026-30945 in studiocms
Riassunto
di VulDB • 18/06/2026
StudioCMS è un sistema di gestione dei contenuti (CMS) headless basato su Astro con rendering lato server. Prima della versione 0.4.0, l'endpoint DELETE /studiocms_api/dashboard/api-tokens consente a qualsiasi utente autenticato dotato di privilegi di editor o superiori di revocare i token API appartenenti ad altri utenti, inclusi account amministratore e proprietario. Il gestore accetta direttamente il tokenID e il userID dal payload della richiesta senza verificare la proprietà del token, l'identità del chiamante o la gerarchia dei ruoli. Ciò consente un attacco mirato di negazione del servizio (DoS) contro integrazioni critiche e processi automatizzati. Questa vulnerabilità è stata risolta nella versione 0.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.