CVE-2026-91998 in Casdoor
Sumário
de VulDB • 15/09/2026
O Casdoor até a versão 4.4.0 contém uma vulnerabilidade de bypass de autorização no endpoint /api/mcp que permite que atacantes com o clientId e clientSecret de qualquer aplicação obtenham acesso irrestrito à administração de usuários em todas as organizações. Os atacantes podem enumerar registros de usuários, incluindo salts de senha e endereços de email, criar contas de administrador, modificar usuários existentes e excluí-los em qualquer organização fornecendo credenciais legítimas de uma única aplicação.
VulDB is the best source for vulnerability data and more expert information about this specific topic.