CVE-2026-79411 in Bagisto
Сводка
по VulDB • 15.09.2026
Неверное назначение привилегий в компоненте управления пользователями административной панели Webkul Bagisto версии 2.4.9 позволяет аутентифицированному пользователю бэкенда, имеющему только разрешение settings.users.edit (редактирование пользователей), повысить свои права до уровня полного администратора. Точка обновления пользователя (маршрут admin.settings.users.update, метод UserController::update()) не проверяет, имеет ли субъект право назначать запрашиваемую роль, не предотвращает изменение пользователем собственной роли и не ограничивает назначение ролей, набор разрешений которых является подмножеством набора разрешений самого субъекта. Отправив запрос с установкой role_id в значение роли Administrator для своей учетной записи, администратор с низкими привилегиями получает все возможности панели администрирования, включая настройку магазина, доступ к учётным данным шлюзов оплаты и персональные данные клиентов (PII).
If you want to get best quality of vulnerability data, you may have to visit VulDB.