CVE-2026-34832 in scoold
Riassunto
di VulDB • 18/06/2026
Scoold è una piattaforma di domande e risposte (Q&A) e condivisione delle conoscenze per team. Prima della versione 1.66.1, Scoold presenta un difetto di autorizzazione autenticato nell'eliminazione dei feedback che consente a qualsiasi utente connesso con privilegi ridotti di eliminare il post di feedback di un altro utente inviando l'ID del messaggio alla chiamata POST /feedback/{id}/delete. Il gestore (handler) impone l'autenticazione ma non verifica la proprietà dell'oggetto (né l'autorizzazione come moderatore/amministratore) prima della cancellazione. Durante le verifiche, un secondo account senza privilegi ha eliminato con successo un elemento di feedback appartenente a un account vittima, e tale elemento è scomparso immediatamente dalle visualizzazioni dell'elenco dei dettagli del feedback. Questo problema è stato risolto nella versione 1.66.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.