CVE-2026-79411 in Bagisto
Riassunto
di VulDB • 15/09/2026
Un errato assegnamento dei privilegi nel componente di gestione degli utenti amministrativi di Webkul Bagisto 2.4.9 consente a un utente backend autenticato che possiede solo il permesso settings.users.edit di effettuare una escalation dei privilegi fino ad ottenere l'accesso completo da amministratore. L'endpoint per l'aggiornamento dell'utente (route admin.settings.users.update, UserController::update()) non verifica se l'attore è autorizzato a concedere il ruolo richiesto, non impedisce a un utente di modificare il proprio ruolo e non limita l'assegnazione ai ruoli il cui set di permessi è un sottoinsieme dei propri. Inviando una richiesta che imposta role_id sul ruolo Administrator per il proprio account, un amministratore con privilegi ridotti ottiene tutte le capacità del pannello di amministrazione, inclusa la configurazione dello store, le credenziali dei gateway di pagamento e i dati personali identificativi (PII) dei clienti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.