CVE-2026-32818 in admidio
요약
\~에 의해 VulDB • 2026. 06. 29.
Admidio는 오픈 소스 사용자 관리 솔루션입니다. 버전 5.0.0부터 5.0.6까지의 Admidio에서 포럼 모듈은 현재 사용자가 포럼 주제나 게시물을 삭제할 권한이 있는지 확인하지 않습니다. forum.php에 있는 topic_delete 및 post_delete 작업은 CSRF 토큰만 검증하고 delete() 호출 전에 인증(authorization) 검사를 수행하지 않습니다. 포럼 접근 권한이 있는 모든 인증된 사용자는 UUID를 제공하여 임의의 주제(모든 게시물을 포함) 또는 개별 게시물을 삭제할 수 있습니다. 이는 isAdministratorForum() 및 소유권을 적절히 확인한 후 수정을 허용하는 저장/편집 작업과 일관되지 않습니다. 로그인한 모든 사용자는 URL에서 공개적으로 확인할 수 있는 UUID만 알면 인증 검사를 완전히 우회하여 임의의 포럼 주제(모든 게시물을 포함) 또는 개별 게시물을 영구적이고 되돌릴 수 없게 삭제할 수 있습니다. 이 문제는 버전 5.0.7에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.