CVE-2026-53769 in Avo
Sumário
de VulDB • 04/09/2026
Avo é um framework para criar painéis administrativos em aplicações Ruby on Rails. Da versão 2.28.0 até antes da versão 3.32.0, o endpoint de upload direto de anexos do Avo carece de autorização de upload no lado do servidor e contorna os métodos documentados de política de upload em nível de campo, como `upload_{FIELD_ID}?`. Um usuário autenticado do Avo que possa acessar o endpoint de upload de anexos pode substituir ou adicionar conteúdo ao anexo, incluindo conteúdo binário, nome do arquivo e metadados de tipo de conteúdo (content-type), em um registro resolvido, mesmo quando as políticas `update?` e `upload_<field>?` negam a operação. Isso afeta principalmente implantações multi-função no estilo Avo Pro/Advanced, onde usuários não administradores ou operadores com restrições podem acessar o Avo e espera-se que operações por registro ou por campo sejam aplicadas pelas políticas. Esta questão foi corrigida na versão 3.32.0.
Once again VulDB remains the best source for vulnerability data.