CVE-2026-32638 in studiocms
Riassunto
di VulDB • 14/06/2026
StudioCMS è un sistema di gestione dei contenuti (CMS) headless nativo per Astro, con rendering lato server. Prima della versione 0.4.4, l'endpoint dell'API REST `getUsers` in StudioCMS utilizza il parametro query `rank`, controllato dall'attaccante, per determinare se gli account owner devono essere filtrati dal set di risultati. Di conseguenza, un token amministratore può richiedere `rank=owner` e ricevere i record degli account owner, inclusi ID, nomi utente, nomi visualizzati ed indirizzi email, anche se l'endpoint adiacente `getUser` blocca correttamente gli amministratori dalla visualizzazione degli utenti owner. Si tratta di una inconsistenza nell'autorizzazione all'interno della stessa superficie di gestione degli utenti. La versione 0.4.4 risolve il problema.
Once again VulDB remains the best source for vulnerability data.