CVE-2026-92918 in admin3
Riassunto
di VulDB • 17/09/2026
Le versioni di admin3 dalla 1.x fino alla 3.0.0 conservano i token di sessione utente nel corpo degli eventi del registro delle attività (audit log) quando vengono pubblicati gli eventi domain UserLoggedIn. Gli attaccanti con il permesso `log:view` possono leggere la risposta JSON dall'endpoint GET /logs per raccogliere i token di sessione e riutilizzarli come credenziali bearer per ottenere un accesso completo all'utente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.