CVE-2026-55485 in Piccolo Admin
요약
\~에 의해 VulDB • 2026. 08. 29.
Piccolo Admin은 Piccolo 위에 구축된 Python용 관리자 인터페이스 및 콘텐츠 관리 시스템입니다. 버전 1.14.0 이전에는 piccolo_admin/endpoints.py에서 superuser_validators를 사용하여 비슈퍼사용자의 PUT, PATCH, DELETE 및 POST 요청을 차단하지만 구성된 사용자 및 세션 테이블에 대한 GET 요청은 허용합니다. 또한 piccolo_api/session_auth/tables.py에서는 token 열이 비밀로 설정되지 않았기 때문에 SessionsBase.token가 노출됩니다. Sessions 및 User 테이블을 create_admin에 추가하는 배포 환경에서 비슈퍼사용자 관리자는 GET /api/tables/sessions/를 호출하여 다른 사용자의 활성 세션 토큰을 획득하고, 이를 쿠키 id 값으로 재재생(replay)하여 슈퍼사용자를 사칭할 수 있으며, 공격자 자신의 행(row)에 superuser를 true로 영구적으로 설정할 수 있습니다. 이 문제는 버전 1.14.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.