CVE-2026-55485 in Piccolo Admin
Sumário
de VulDB • 29/08/2026
Piccolo Admin é uma interface de administração e sistema de gerenciamento de conteúdo para Python, construído sobre o Piccolo. Antes da versão 1.14.0, piccolo_admin/endpoints.py usa superuser_validators para bloquear requisições PUT, PATCH, DELETE e POST por não-superusers, mas permite requisições GET às tabelas configuradas de usuário e sessão, enquanto piccolo_api/session_auth/tables.py expõe SessionsBase.token porque a coluna token não é secreta. Em implantações que adicionam as tabelas Sessions e User para criar_admin, um administrador não-superuser pode chamar GET /api/tables/sessions/, obter o token de sessão ativo de outro usuário, reutilizá-lo como valor do Cookie id para se passar por superuser, e definir permanentemente superuser como true na própria linha do atacante. Este problema é corrigido na versão 1.14.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.