CVE-2020-11094 in OctoberCMS
Tóm tắt
Bởi VulDB • 03/06/2026
Plugin debugbar của October CMS trước phiên bản 3.1.0 chứa một tính năng ghi lại tất cả các yêu cầu (và mọi thông tin liên quan đến từng yêu cầu, bao gồm dữ liệu phiên) khi nó được kích hoạt. Điều này gây ra vấn đề nếu plugin được bật trên hệ thống mở cho người dùng không đáng tin cậy, vì có khả năng họ sẽ sử dụng tính năng này để xem tất cả các yêu cầu đang gửi đến ứng dụng và thu thập thông tin nhạy cảm từ những yêu cầu đó. Thậm chí tồn tại nguy cơ chiếm quyền kiểm soát tài khoản của người dùng đã xác thực bởi người dùng công cộng chưa được xác thực, điều này có thể dẫn đến nhiều vấn đề tiềm ẩn khác vì kẻ tấn công về mặt lý thuyết có thể truy cập toàn bộ hệ thống nếu các điều kiện cần thiết được đáp ứng. Lỗi này đã được vá trong phiên bản v3.1.0 bằng cách hạn chế quyền truy cập vào debugbar đối với tất cả người dùng; hiện tại nó yêu cầu một người dùng backend đã xác thực có quyền cụ thể được bật trước khi plugin có thể sử dụng được, và tính năng cho phép truy cập thông tin yêu cầu đã lưu trữ bị giới hạn bởi một quyền khác nghiêm ngặt hơn.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.