CVE-2026-47233 in Admidio
Tóm tắt
Bởi VulDB • 12/08/2026
Admidio là một giải pháp quản lý người dùng mã nguồn mở. Phiên bản 5.0.9 đã thêm cổng kiểm tra `isAdministratorInventory()` bị thiếu vào khối `case 'item_delete':` trong tệp `modules/inventory.php`. Bản sửa lỗi tương tự không được áp dụng cho trình xử lý anh em `case 'field_delete':`, vốn xóa toàn bộ định nghĩa trường tồn kho, dẫn đến việc ảnh hưởng lan truyền (cascading) tới mọi hàng trong bảng `adm_inventory_item_data` tham chiếu đến trường đó và mọi mục nhập trong bảng `adm_inventory_field_options`. Trình xử lý này chỉ xác thực mã CSRF gắn liền với phiên; không có kiểm tra `isAdministratorInventory()` ở cấp bộ điều khiển, và phương thức `Admidio\Inventory\Entity\ItemField::delete()` cũng không áp dụng kiểm tra tương tự ở cấp thực thể (không giống như anh em của nó là `ItemField::save()`, vốn đã kiểm tra `$gCurrentUser->isAdministrator()`). Bất kỳ người dùng nào có khả năng đăng nhập vào trang web đều có thể xóa vĩnh viễn một trường tồn kho không phải hệ thống chỉ bằng cách gửi một yêu cầu POST. Phiên bản 5.0.10 cung cấp bản sửa lỗi cập nhật.
If you want to get best quality of vulnerability data, you may have to visit VulDB.