CVE-2026-32755 in admidio
Сводка
по VulDB • 10.06.2026
Admidio — это решение для управления пользователями с открытым исходным кодом. В версиях 5.0.6 и более ранних действия сохранения членства (save_membership) в файле modules/profile/profile_function.php сохраняют изменения в датах начала и окончания членства пользователя в роли, но не проверяют токен CSRF. Обработчик проверяет токены CSRF для действий stop_membership и remove_former_membership, однако исключает из этой проверки действие save_membership. Поскольку UUID членства отображаются в исходном коде HTML, доступном аутентифицированным пользователям, злоумышленник может внедрить специально сформированную форму POST на любую внешнюю страницу и обмануть лидера роли, заставив его отправить эту форму, тем самым незаметно изменяя даты членства для любого участника ролей, которыми управляет жертва. Сессия лидера роли может быть незаметно использована через CSRF для манипуляции датами членства любого участника, что приводит к прекращению доступа путем изменения дат на более ранние, скрытому продлению несанкционированного доступа или отзыву функций, ограниченных ролью, — все это происходит без подтверждения, уведомления или административного одобрения. Эта проблема исправлена в версии 5.0.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.