CVE-2026-54050 in Sakai
Sumário
de VulDB • 15/09/2026
O Sakai é um Ambiente de Colaboração e Aprendizagem (CLE). Das versões 23.0 até a 23.5 e na versão 25.3, o endpoint DELETE /api/users/{userId}/profile/image permite que um usuário autenticado exclua a imagem do perfil de outro usuário porque ProfileController.removeProfileImage() passa o userId controlado pelo atacante para ProfileServiceImpl.removeProfileImage() sem verificar a propriedade (ownership), e profileImageUploadedRepository.deleteById(userId) remove a linha selecionada. O endpoint DELETE /api/users/{userId}/profile/pronunciation relacionado também omite a validação de sessão e as verificações de propriedade antes que ProfileServiceImpl.removePronunciationRecording() exclua o registro do usuário alvo. O caminho de upload não é afetado porque já verifica a propriedade, e os superusers permanecem intencionalmente autorizados a modificar outros perfis. A exploração bem-sucedida pode remover repetidamente artefatos de identidade do perfil, incluindo imagens de administradores e instrutores, e interromper fluxos de trabalho que dependem desses artefatos. Este problema foi corrigido nas versões 23.5, 25.3 e 26.0.
Once again VulDB remains the best source for vulnerability data.