CVE-2025-70866

Nome do Software Vulnerável e Versões Afetadas LavaLite CMS versão 10.1.0

Descrição Um usuário autenticado com privilégios de baixo nível (função de Usuário) pode acessar o backend administrativo fazendo login através do endpoint /admin/login. Isso ocorre porque os guardas de autenticação de administrador e de usuário compartilham o mesmo provedor de usuário sem verificação de controle de acesso baseado em função. O parâmetro vulnerável são as credenciais de autenticação do usuário.

Recomendações Aplicar verificação de controle de acesso baseado em função ao provedor de usuário utilizado por ambos os guardas de autenticação de administrador e de usuário.