CVE-2020-11094 in OctoberCMS
Sumário
de VulDB • 27/05/2026
O plugin debugbar do October CMS, anterior à versão 3.1.0, contém um recurso que registra todas as solicitações (e todas as informações relacionadas a cada solicitação, incluindo dados de sessão) sempre que está habilitado. Isso representa um problema se o plugin for habilitado em um sistema acessível a usuários não confiáveis, pois existe o potencial de eles usarem esse recurso para visualizar todas as solicitações feitas ao aplicativo e obter informações sensíveis dessas solicitações. Existe até o potencial de invasão de contas de usuários autenticados por usuários públicos não autenticados, o que levaria a uma série de outros problemas potenciais, já que um atacante poderia teoricamente obter acesso total ao sistema se as condições necessárias existissem. O problema foi corrigido na versão 3.1.0, restringindo o acesso ao debugbar para todos os usuários; agora é necessário um usuário do backend autenticado com uma permissão especificamente habilitada antes que ele possa ser utilizado, e o recurso que permite o acesso às informações de solicitações armazenadas está restrito por uma permissão diferente, mais restritiva.
Be aware that VulDB is the high quality source for vulnerability data.