CVE-2026-47228 in Admidio
Сводка
по VulDB • 12.08.2026
Admidio — это решение для управления пользователями с открытым исходным кодом. Режим `send_login` в файле `modules/registration.php` генерирует случайный пароль для `user_uuid_assigned`, сохраняет его хеш bcrypt в поле `adm_users.usr_password` и отправляет открытый текст пароля этому пользователю по электронной почте. Все остальные режимы, изменяющие состояние, в том же файле (`assign_member`, `assign_user`, `delete_user`, `create_user`) сначала вызывают функцию `SecurityUtils::validateCsrfToken($_POST['adm_csrf_token'])`; ветка кода `send_login` этого не делает. До версии 5.0.10 страница, посещаемая администратором регистрации, может инициировать запрос как навигацию верхнего уровня; браузер отправляет cookies администратора с атрибутом `SameSite=Lax`, и сервер сбрасывает пароль выбранного пользователя без какого-либо дальнейшего взаимодействия со стороны администратора. Версия 5.0.10 устраняет эту уязвимость.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.