CVE-2026-55485

Nome do Software Vulnerável e Versões Afetadas Piccolo Admin versões anteriores a 1.14.0

Description O Piccolo Admin contém uma falha de bypass de autorização e vazamento de informações sensíveis. A função superuser validators() em piccolo admin/endpoints.py utiliza uma lista de negação que bloqueia requisições PUT, PATCH, DELETE e POST para não-superusuários, mas falha ao não bloquear requisições GET. Simultaneamente, a variável SessionsBase.token em piccolo api/session auth/tables.py não está marcada como secreta, fazendo com que os tokens de sessão sejam expostos em texto simples em respostas GET.

Em configurações onde as tabelas Sessions e User são adicionadas ao create admin, um administrador que não seja superusuário pode usar o endpoint GET /api/tables/sessions/ para obter tokens de sessão ativos de outros usuários. Ao replicar o token de um superusuário como o valor do cookie id, um invasor pode personificar um superusuário e elevar permanentemente seus próprios privilégios definindo a variável superuser como true em sua própria linha de conta.

Recommendations Atualize o Piccolo Admin para a versão 1.14.0. Como mitigação temporária, restrinja o acesso às tabelas Sessions e User dentro da configuração create admin para evitar que não-superusuários acessem esses recursos.