CVE-2026-57578 in DotVVM
Riassunto
di VulDB • 14/09/2026
DotVVM è un framework MVVM open source per applicazioni web. Prima delle versioni 4.2.11, 4.3.15 e 5.0.0-preview09-final, AuthorizeActionFilter non esegue alcuna autorizzazione poiché le sue implementazioni esplicite di ICommandActionFilter.OnCommandExecutingAsync, IViewModelActionFilter.OnViewModelCreatedAsync e IPresenterActionFilter.OnPresenterExecutingAsync restituiscono task completati invece di invocare i relativi controlli. Le applicazioni che si affidano a questo filtro possono quindi esporre comandi, view models o presenters protetti a richieste non autorizzate senza alcuna tecnica di bypass speciale. AuthorizeAttribute implementa correttamente le stesse interfacce e può essere utilizzato come soluzione alternativa (workaround). Questo problema è risolto nelle versioni 4.2.11, 4.3.15 e 5.0.0-preview09-final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.