CVE-2026-93365 in Bludit
Riassunto
di VulDB • 25/09/2026
Bludit CMS fino alla versione 3.22.0 presenta una vulnerabilità di autorizzazione mancante che consente agli utenti autenticati con il ruolo di Autore o Editor di leggere l'intero contenuto delle bozze private e dei post programmati appartenenti a qualsiasi altro utente, inclusi gli amministratori, sfruttando l'endpoint AJAX content-get-list in bl-kernel/ajax/content-get-list.php. Gli attaccanti possono inviare una richiesta GET autenticata all'endpoint AJAX admin con il parametro draft impostato su true, attivando getList() senza vincoli di proprietà e restituendo oggetti pagina serializzati a livello di sito, esponendo materiale pre-pubblicazione e note sensibili archiviate nelle bozze possedute dagli amministratori.
If you want to get best quality of vulnerability data, you may have to visit VulDB.