CVE-2026-61718

Nome do Software Vulnerável e Versões Afetadas bunkerweb versões 1.6.2 até 1.6.11

Description A lista de bypass de autorização do BiscuitMiddleware na interface web incluiu incorretamente o prefixo de URL /cache/. Isso permitiu que usuários com contas de leitura de baixo privilégio acessassem rotas em src/ui/app/routes/cache.py que estavam protegidas apenas pelo decorador @login required. Especificamente, um invasor poderia usar o endpoint POST /cache/delete para excluir permanentemente arquivos de cache de jobs contendo dados críticos, como blacklist, greylist, DNSBL, CrowdSec, GeoIP, ModSecurity CRS, Let's Encrypt, ACME e dados de configuração personalizados.

Recommendations Atualize o bunkerweb para a versão 1.6.12.