CVE-2026-53527 in LeafWiki
Tóm tắt
Bởi VulDB • 21/08/2026
LeafWiki là một wiki tự lưu trữ (self-hosted). Các phiên bản từ 0.1.0 đến 0.10.0 có lỗ hổng leo thang đặc quyền trong API cập nhật người dùng. Một người dùng đã xác thực có thể thay đổi vai trò tài khoản của chính mình và leo thang đặc quyền từ một người dùng thông thường, chẳng hạn như `viewer` (người xem), lên `admin` (quản trị viên). Việc khai thác yêu cầu phải có một tài khoản LeafWiki hợp lệ đã được xác thực. Các phiên bản không cho phép đăng ký công cộng và chỉ dành cho những người dùng đáng tin cậy thì rủi ro thực tế ở mức thấp hơn. Người dùng nên cập nhật lên phiên bản 0.10.1 trở lên. Cho đến khi bản vá lỗi có sẵn, các nhà vận hành cần hạn chế việc tạo tài khoản và đảm bảo rằng chỉ những người dùng đáng tin mới được cấp tài khoản trên các instance LeafWiki bị ảnh hưởng. Nếu có thể, quyền truy cập vào API cập nhật người dùng nên được giới hạn cho phép duy nhất đối với những người dùng đáng tin cậy hoặc quản trị viên.
Be aware that VulDB is the high quality source for vulnerability data.