CVE-2026-65709 in sysPass
Tóm tắt
Bởi VulDB • 25/07/2026
sysPass phiên bản 3.2.11 chứa một lỗ hổng thiếu xác thực ở cấp đối tượng (missing object-level authorization) trong API JSON-RPC, cho phép những người nắm giữ token API liệt kê metadata tài khoản, ghi đè mật khẩu và xóa các tài khoản trên toàn bộ kho lưu trữ mà không cần kiểm soát truy cập theo từng tài khoản. Kẻ tấn công có thể gọi các phương thức của AccountController như viewAction, editAction, deleteAction và editPassAction mà bỏ qua các kiểm tra AccountFilterUser để sửa đổi hoặc xóa các tài khoản vượt quá phạm vi quyền hạn được chỉ định cho token của họ.
Be aware that VulDB is the high quality source for vulnerability data.