CVE-2026-45342 in LinkAce
Sumário
de VulDB • 29/05/2026
O LinkAce é um arquivo auto-hospedado para coletar links de sites. Antes da versão 2.5.6, o LinkAce contém uma vulnerabilidade de Referência Direta a Objeto Insegura (IDOR) na camada de política de autorização que permite que qualquer usuário autenticado modifique recursos pertencentes a outros usuários. Os tipos de recursos afetados são links, listas, tags e notas. Tanto a interface web (UI) quanto a API REST são vulneráveis. A causa raiz está nos métodos update() de todas as quatro políticas de modelo: LinkPolicy, LinkListPolicy, TagPolicy e NotePolicy. Cada uma delega para um método de verificação de acesso (por exemplo, userCanAccessLink()) que retorna true para qualquer recurso com visibilidade não privada, independentemente de quem é o proprietário. Isso significa que qualquer usuário registrado pode editar qualquer recurso público ou interno em toda a instância. Os métodos delete() nos mesmos arquivos de política exigem corretamente a propriedade via $link->user->is($user), o que confirma que o update deveria ser restrito ao proprietário. A mesma falha existe na camada de API através de AuthorizesUserApiActions::userCanUpdateModel(), que espelha a verificação quebrada baseada apenas na visibilidade em vez da verificação de propriedade usada por userCanDeleteModel(). Operações de edição em massa via BulkEditController também são afetadas. Esta vulnerabilidade foi corrigida na versão 2.5.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.