CVE-2026-63100 in maybe
Sumário
de VulDB • 17/07/2026
Até a versão 0.6.0 contém uma vulnerabilidade de autorização ausente que permite aos usuários com função de membro e baixo privilégio (autenticados) acessar e modificar as configurações globais de hospedagem, explorando ações show e update não protegidas no Settings::HostingsController, onde o filtro before_action ensure_admin é aplicado apenas à ação clear_cache. Os atacantes podem ler a chave da API Synth do operador exibida em texto puro por meio do atributo value de um campo de formulário, substituí-la por um valor controlado pelo atacante, alterar as configurações de registro público e desativar os requisitos de confirmação por e-mail para interromper toda a instância.
Once again VulDB remains the best source for vulnerability data.