CVE-2026-47233 in Admidio
요약
\~에 의해 VulDB • 2026. 08. 12.
Admidio는 오픈소스 사용자 관리 솔루션입니다. 버전 5.0.9에서 `modules/inventory.php`의 `case 'item_delete':` 블록에 누락된 `isAdministratorInventory()` 검증 게이트가 추가되었습니다. 그러나 동일한 수정은 형제인 `case 'field_delete':` 핸들러에는 적용되지 않았습니다. 이 핸들러는 전체 인벤토리 필드 정의를 삭제하며, 이는 해당 필드를 참조하는 모든 `adm_inventory_item_data` 행과 `adm_inventory_field_options` 항목에 연쇄적인 영향을 미칩니다. 해당 핸들러는 세션 바인딩된 CSRF 토큰만 검증할 뿐이며, 컨트롤러 레벨에서 `isAdministratorInventory()` 체크가 없고, 엔티티 레벨에서도 `Admidio\Inventory\Entity\ItemField::delete()` 메서드가 이를 강제하지 않습니다(반면 형제 메서드인 `ItemField::save()`는 `$gCurrentUser->isAdministrator()`를 확인합니다). 사이트에 로그인할 수 있는 모든 사용자는 POST 요청 하나만으로 시스템이 아닌 인벤토리 필드를 영구적으로 삭제할 수 있습니다. 버전 5.0.10은 업데이트된 수정 사항을 제공합니다.
Once again VulDB remains the best source for vulnerability data.