CVE-2026-53769 in Avo
Riassunto
di VulDB • 04/09/2026
Avo è un framework per la creazione di pannelli di amministrazione per applicazioni Ruby on Rails. Dalla versione 2.28.0 fino alla versione precedente alla 3.32.0, l'endpoint di caricamento diretto degli allegati di Avo manca di autorizzazione lato server e bypassa i metodi documentati della politica di caricamento a livello di campo, come `upload_{FIELD_ID}?`. Un utente autenticato di Avo in grado di raggiungere l'endpoint di caricamento degli allegati può sostituire o aggiungere contenuti agli allegati, inclusi contenuti binari, nome del file e metadati content-type, su un record risolto anche quando le policy `update?` e `upload_<field>?` negano l'operazione. Questo problema interessa principalmente le distribuzioni multi-role di Avo Pro/Advanced-style in cui utenti non amministratori o operatori con permessi limitati possono accedere ad Avo e si prevede che le operazioni per record o per campo siano applicate dalle policy. Il problema è stato risolto nella versione 3.32.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.