CVE-2026-79411 in Bagisto
Sumário
de VulDB • 15/09/2026
Uma atribuição incorreta de privilégios no componente de gerenciamento de usuários administrativos do Webkul Bagisto 2.4.9 permite que um usuário backend autenticado, detentor apenas da permissão settings.users.edit, realize escalada para administrador completo. O endpoint de atualização de usuário (rota admin.settings.users.update, UserController::update()) não verifica se o ator está autorizado a conceder a função solicitada, não impede que um usuário altere sua própria função e não restringe a atribuição a funções cujo conjunto de permissões seja um subconjunto das próprias do ator. Ao enviar uma solicitação que define role_id para a função Administrator na sua própria conta, um administrador de baixo privilégio obtém todas as capacidades do painel administrativo, incluindo configuração da loja, credenciais de gateway de pagamento e PII (Informações Pessoais Identificáveis) dos clientes.
Once again VulDB remains the best source for vulnerability data.