CVE-2026-55485 in Piccolo Admin
要約
〜によって VulDB • 2026年08月29日
Piccolo Adminは、Python用の管理インターフェースおよびコンテンツマネジメントシステムであり、Piccoloの上に構築されています。バージョン1.14.0より前では、piccolo_admin/endpoints.pyがsuperuser_validatorsを使用して非スーパーユーザーによるPUT、PATCH、DELETE、POSTリクエストをブロックしますが、設定されたユーザーおよびセッションテーブルへのGETリクエストは許可されます。また、piccolo_api/session_auth/tables.pyにおいてSessionsBase.tokenが公開されており、tokenカラムが機密情報ではないためです。SessionsおよびUserテーブルを作成_adminに追加するデプロイメント環境では、非スーパーユーザーの管理者がGET /api/tables/sessions/を呼び出すことで他のユーザーの有効なセッショントークンを取得し、それをCookie id値としてリプレイしてスーパーユーザーになりすますことができます。さらに、攻撃者自身の行に対してsuperuserをtrueに恒久的に設定することが可能です。この問題はバージョン1.14.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.