CVE-2026-53769 in Avo
Сводка
по VulDB • 05.09.2026
Avo — это фреймворк для создания панелей администратора в приложениях Ruby on Rails. Начиная с версии 2.28.0 и до (не включая) версию 3.32.0, конечная точка загрузки прямых вложений Avo не имеет серверной авторизации загрузок и обходит документированные методы политики уровня полей для управления загрузками, такие как upload_{FIELD_ID}?. Аутентифицированный пользователь Avo, имеющий доступ к конечной точке загрузки вложений Avo, может заменять или добавлять содержимое вложения (включая бинарные данные), а также метаданные имени файла и типа контента для определенного записи, даже если политики update? и upload_<field>? запрещают данную операцию. Это в первую очередь затрагивает развертывания Avo Pro/Advanced с множественными ролями, где пользователи-операторы без прав администратора или с ограниченными правами могут получать доступ к Avo, при этом ожидается, что операции на уровне записи или поля будут контролироваться политиками. Данная проблема исправлена в версии 3.32.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.