CVE-2026-56721

Nome do Software Vulnerável e Versões Afetadas CamaleonCMS versões anteriores a 2.9.3

Description Uma referência direta insegura a objeto (IDOR) permite que atacantes autenticados com baixos privilégios escalem privilégios ao explorar uma falha de confusão de parâmetros no UsersController entre o filtro de autorização e o corpo da ação. Ao enviar uma requisição PATCH para o endpoint 'updated ajax', um atacante pode definir o parâmetro id como seu próprio ID de usuário para ignorar as verificações de auto-autorização, enquanto define o parâmetro user id como o ID de uma vítima. Isso faz com que o controlador carregue e modifique a conta da vítima, permitindo que o atacante sobrescreva senhas de administrador e assuma o controle total do site.

Recommendations Atualize o CamaleonCMS para a versão 2.9.3 ou posterior.