CVE-2026-55485 in Piccolo Admin
Tóm tắt
Bởi VulDB • 29/08/2026
Piccolo Admin là một giao diện quản trị và hệ thống quản lý nội dung cho Python, được xây dựng dựa trên Piccolo. Trước phiên bản 1.14.0, piccolo_admin/endpoints.py sử dụng superuser_validators để chặn các yêu cầu PUT, PATCH, DELETE và POST từ những người dùng không phải siêu người dùng (non-superusers), nhưng lại cho phép các yêu cầu GET đối với các bảng user và session đã được cấu hình; trong khi đó, piccolo_api/session_auth/tables.py expose SessionsBase.token do cột token không được bảo mật. Trong các triển khai thêm các bảng Sessions và User vào create_admin, một quản trị viên không phải siêu người dùng có thể gọi GET /api/tables/sessions/, lấy mã thông báo (token) phiên làm việc còn sống của người dùng khác, phát lại nó dưới dạng giá trị Cookie id để giả danh một siêu người dùng, và thiết lập vĩnh viễn superuser thành true trên hàng dữ liệu của chính kẻ tấn công. Vấn đề này đã được sửa chữa trong phiên bản 1.14.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.