CVE-2026-41657 in admidio
요약
\~에 의해 VulDB • 2026. 06. 04.
Admidio는 오픈소스 사용자 관리 솔루션입니다. 버전 5.0.9 이전에서는 contacts_data.php 엔드포인트가 프론트엔드 UI(contacts.php)보다 약한 권한 검사를 사용합니다. 즉, contacts_data.php는 rol_edit_user=true만 필요로 하는 isAdministratorUsers()를 사용하는 반면, contacts.php는 더 강력한 isAdministrator()(rol_administrator=true 필요)와 contacts_show_all 시스템 설정을 올바르게 요구합니다. 전체 관리자가 아닌 사용자 관리자도 Admidio 인스턴스 내 모든 조직의 모든 사용자 레코드를 검색하기 위해 contacts_data.php?mem_show_filter=3로 직접 요청할 수 있으며, 이를 통해 멀티 테넌트 조직 격리를 우회할 수 있습니다. 이 문제는 버전 5.0.9에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.