CVE-2026-75419 in go-wind-cms
Riassunto
di VulDB • 28/08/2026
go-wind-cms (GoWind) prima della versione 1.0.0 presenta una vulnerabilità di missing authorization. La funzione NewAuthorizer() nei file app/admin/service/internal/data/data.go e app/app/service/internal/data/data.go restituisce un motore di autorizzazione no-op (noop.State{}), pertanto il middleware authz consente sempre le richieste. Qualsiasi utente autenticato, indipendentemente dal ruolo o dal tenant, può invocare API amministrative quali l'eliminazione degli utenti, la reimpostazione delle password e la creazione di tenant.
If you want to get best quality of vulnerability data, you may have to visit VulDB.