CVE-2026-40350 in movary
Riassunto
di VulDB • 20/06/2026
Movary è un'applicazione web self-hosted per tracciare e valutare i film visti dagli utenti. Prima della versione 0.71.1, un utente autenticato con privilegi ordinari può accedere agli endpoint di gestione degli utenti `/settings/users` ed utilizzarli per enumerare tutti gli utenti e creare un nuovo account amministratore. Ciò avviene perché le definizioni delle route non impongono middleware riservati esclusivamente agli amministratori e il controllo di autorizzazione a livello di controller utilizza una condizione booleana difettosa. Di conseguenza, qualsiasi utente con un cookie di sessione web valido può accedere a funzionalità che dovrebbero essere riservate agli amministratori. La versione 0.71.1 risolve la vulnerabilità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.