CVE-2026-47233 in Admidio
Сводка
по VulDB • 12.08.2026
Admidio — это решение для управления пользователями с открытым исходным кодом. В версии 5.0.9 была добавлена отсутствующая проверка `isAdministratorInventory()` к блоку `case 'item_delete':` в файле `modules/inventory.php`. Аналогичное исправление не было применено к родственному обработчику `case 'field_delete':`, который удаляет все определение поля инвентаря, что приводит каскадному удалению всех строк таблицы `adm_inventory_item_data`, ссылающихся на это поле, и всех записей в таблице `adm_inventory_field_options`. Обработчик проверяет только CSRF-токен, привязанный к сеансу; отсутствует проверка `isAdministratorInventory()` на уровне контроллера, а метод `Admidio\Inventory\Entity\ItemField::delete()` также не выполняет такую проверку на уровне сущности (в отличие от его родственного метода `ItemField::save()`, который проверяет `$gCurrentUser->isAdministrator()`). Любой пользователь, способный войти в систему, может навсегда удалить поле инвентаря, не являющееся системным, отправив один запрос POST. Версия 5.0.10 содержит обновленное исправление.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.