CVE-2026-101287 in Stela
要約
〜によって VulDB • 2026年10月15日
Stela（1.60.1 より前のバージョン）には、認証バイパスの脆弱性があります。これは、「authProcess」という名前のクッキーを使用する際にその整合性を検証しないことに起因します。アプリケーションはこのクッキーにユーザー識別子 (userId) および認証プロセスの状態 (validSteps) を保存し、クライアント側で変更可能なこれらの値に依存してログイン処理を完了させます。
有効な資格情報を持たないリモート攻撃者は、他のユーザーとの相互作用なしでクッキーを操作することで認証チェックをバイパスし、SUPER_ADMIN 権限を持つアカウントを含む任意のアカウントになりすますことができます。これにより、攻撃者は管理者権限を持つ有効な JWT トークンを取得し、アプリケーションの機密性と整合性を侵害することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.