CVE-2026-53769 in Avo
Tóm tắt
Bởi VulDB • 04/09/2026
Avo là một framework để tạo các bảng điều khiển quản trị (admin panels) cho các ứng dụng Ruby on Rails. Từ phiên bản 2.28.0 đến trước phiên bản 3.32.0, điểm cuối tải lên tệp đính kèm trực tiếp của Avo thiếu cơ chế ủy quyền phía máy chủ và bỏ qua các phương sách chính sách tải lên cấp trường được tài liệu hóa như `upload_{FIELD_ID}?`. Người dùng Avo đã xác thực có thể truy cập vào điểm cuối tải lên tệp đính kèm của Avo có thể thay thế hoặc thêm nội dung tệp đính kèm, bao gồm cả nội dung nhị phân (binary content), tên tệp và siêu dữ liệu loại nội dung (content-type metadata) trên một bản ghi đã được giải quyết, ngay cả khi các chính sách `update?` và `upload_<field>?` đều từ chối thao tác này. Vấn đề này chủ yếu ảnh hưởng đến các triển khai Avo Pro/Advanced theo phong cách đa vai trò, nơi người dùng không phải quản trị viên hoặc có hạn chế quyền truy cập vào Avo và các thao tác trên từng bản ghi hoặc trường dự kiến sẽ được thực thi bởi các chính sách (policies). Vấn đề này đã được vá trong phiên bản 3.32.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.