CVE-2026-111648
CVE-2026-111648 · BuildAdmin through 2.3.9 IDOR via routine/adminInfo/edit id Parameter
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
BuildAdmin through 2.3.9 contains an insecure direct object reference vulnerability that allows authenticated backend administrators to modify other administrators' profiles via the id parameter. Attackers holding the routine/adminInfo/edit permission can overwrite avatar, nickname, email, mobile and motto fields, including a super administrator's email and mobile.
CVSS 5.1 · Mittel · EPSS 0,4%
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
buildadmin
- Softwareversionen
- ≥ 0, ≤ 2.3.9: Betroffen (custom)
Keine Korrektur veröffentlicht
Originalquellen
- https://hackmd.io/@hieuPenguinnn/buildadmin-admininfo-edit-cross-admin-idor
- https://github.com/build-admin/buildadmin/blob/468652294e6a6a794bf1113f0847b93337d69fb4/app/admin/controller/routine/AdminInfo.php#L36-L89
- https://github.com/build-admin/buildadmin
- https://www.vulncheck.com/advisories/buildadmin-through-2.3.9-idor-via-routine-admininfo-edit-id-parameter
- https://nvd.nist.gov/vuln/detail/CVE-2026-111648