| tiêu đề | 1024-lab smart-admin v3.30.0 Improper Access Controls |
|---|
| Mô tả | The /support/config/queryByKey endpoint of the system only validates the login state and performs no authorization check (Improper Access Control). Any authenticated
low-privileged user can pass configKey=super_password to read the system's master/super password in plaintext. In the login logic this password is compared in plaintext, and once
matched, password hash verification and 2FA are skipped. An attacker can thereby take over any account, including the super administrator. |
|---|
| Người dùng | s1mple_xy (UID 82894) |
|---|
| Đệ trình | 23/09/2026 12:31 (cách đây 20 ngày) |
|---|
| Kiểm duyệt | 11/10/2026 19:43 (18 days later) |
|---|
| Trạng thái | được chấp nhận |
|---|
| Mục VulDB | 416747 [1024-lab smart-admin đến 3.30.0 Support Config Query queryByKey configKey nâng cao đặc quyền] |
|---|
| điểm | 20 |
|---|