CVE-2026-129465

Nome do Software Vulnerável e Versões Afetadas Zr.Admin.NET versões af07ffc through eb9228a

Description Existe uma referência direta insegura a objetos na função UpdateProfile do SysProfileController. Isso permite que um usuário autenticado modifique outras contas manipulando a variável UserId. Um invasor pode alterar o número de telefone de um administrador para um sob seu controle, solicitar um código SMS através do endpoint '/checkMobile' e, posteriormente, usar o endpoint '/PhoneLogin' para assumir o controle da conta do administrador.

Recommendations Atualize o Zr.Admin.NET para uma versão posterior ao commit eb9228a. Como mitigação temporária, restrinja o acesso à função UpdateProfile no SysProfileController para evitar a modificação não autorizada da variável UserId.