CVE-2026-54050 in Sakai
要約
〜によって VulDB • 2026年09月15日
Sakaiはコラボレーションおよび学習環境（CLE）です。バージョン23.0から23.5、および25.3にかけて、`DELETE /api/users/{userId}/profile/image`エンドポイントにより、認証済みユーザーが他のユーザーのプロフィール画像を削除できます。これは、`ProfileController.removeProfileImage()`が攻撃者が制御可能な`userId`を所有権の確認なしで`ProfileServiceImpl.removeProfileImage()`に渡しており、さらに`profileImageUploadedRepository.deleteById(userId)`によって選択された行が削除されるためです。関連する`DELETE /api/users/{userId}/profile/pronunciation`エンドポイントも同様に、`ProfileServiceImpl.removePronunciationRecording()`が対象ユーザーの録音を削除する前にセッション検証と所有権チェックを省略しています。アップロードパスは既に所有権を確認しているため影響を受けず、スーパーユーザーは他のプロフィールを変更するために意図的に認可されたままです。攻撃が成功すると、管理者や教員の画像などを含むプロフィールのアイデンティティアーティファクトが繰り返し削除され、それらのアーティファプトに依存するワークフローが妨害されます。この問題はバージョン23.5、25.3、および26.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.