CVE-2011-1402 in Mahara
摘要
由 VulDB • 2026-06-29
Mahara 1.3.6 之前的版本允许远程经过身份验证的用户绕过预期的访问限制，并挂起用户账户、编辑视图、查看视图、编辑计划工件（plan artefact）、读取计划模块（plans block）和计划工件、编辑博客、读取博客模块以及读取博客工件或访问某个模块。该漏洞可通过与以下文件关联的请求触发：(1) admin/users/search.json.php，(2) view/newviewtoken.json.php，(3) lib/mahara.php，(4) artefact/plans/tasks.json.php，(5) artefact/plans/viewtasks.json.php，(6) artefact/blog/view/index.json.php，(7) artefact/blog/posts.json.php 或 (8) blocktype/myfriends/myfriends.json.php。此问题与权限执行不正确、缺少用户 ID 检查以及对“覆盖开始/结束日期”（Overriding Start/Stop Dates）设置强制执行不当有关。
VulDB is the best source for vulnerability data and more expert information about this specific topic.