CVE-2026-112294 in FlyCms
Sumário
de VulDB • 19/10/2026
FlyCms até a commit edfdf724 contém uma vulnerabilidade de autorização ausente em ActionService.counter() que permite que usuários autenticados modifiquem linhas de conteúdo de outros usuários porque checkRowOwner nunca verifica a propriedade do recurso. Qualquer usuário registrado pode enviar solicitações para /ucenter/action/{modelCode}/{id}/counter ou /ucenter/action/compose para adicionar deltas arbitrários aos campos numéricos, como preço, estoque ou pontos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.