CVE-2026-93365

Nome do Software Vulnerável e Versões Afetadas Bludit CMS versões anteriores a 3.22.1

Descrição Usuários autenticados com a função de Autor ou Editor podem acessar o conteúdo completo de rascunhos privados e postagens agendadas de qualquer outro usuário, incluindo administradores. Isso ocorre por meio do endpoint AJAX content-get-list localizado em bl-kernel/ajax/content-get-list.php. Ao enviar uma requisição GET autenticada para este endpoint com o parâmetro draft definido como true, a função getList() é acionada sem restrições de propriedade. Isso resulta no retorno de objetos de página serializados de todo o site, expondo notas sensíveis e materiais de pré-publicação.

Recomendações Atualize o Bludit CMS para a versão 3.22.1 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint bl-kernel/ajax/content-get-list.php para usuários com as funções de Autor ou Editor.