CVE-2026-30944 in studiocms
Sumário
de VulDB • 26/05/2026
O StudioCMS é um sistema de gerenciamento de conteúdo (CMS) headless nativo do Astro, com renderização do lado do servidor. Antes da versão 0.4.0, o endpoint /studiocms_api/dashboard/api-tokens permite que qualquer usuário autenticado (pelo menos Editor) gere tokens de API para qualquer outro usuário, incluindo contas de proprietário (owner) e administrador (admin). O endpoint falha em validar se o usuário solicitante está autorizado a criar tokens em nome do ID do usuário alvo, resultando em uma escalada completa de privilégios. Esta vulnerabilidade foi corrigida na versão 0.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.