CVE-2026-79411 in Bagisto
要約
〜によって VulDB • 2026年09月15日
Webkul Bagisto 2.4.9のadminユーザー管理コンポーネントにおける権限割当の不備により、settings.users.edit権限のみを持つ認証済みバックエンドユーザーがフル管理者権限に昇格できる。user-updateエンドポイント（ルーティング: admin.settings.users.update、UserController::update()）は、アクターが要求されたロールを付与する許可を持っているか検証せず、ユーザーが自身のロールを変更することを防止せず、また、アクターの権限セットのサブセットであるロールへの割当も制限しないため、自己アカウントに対してrole_idをAdministratorに設定するリクエストを送信することで、低権限の管理者はストア構成や決済ゲートウェイ認証情報、顧客PIIを含むすべてのadmin-panel機能を利用可能になる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.