CVE-2026-55518

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.6
EPSS: 0.4%
CWE: CWE-639
KEV Durumu: Hayır

Yayım tarihi: 17 Temmuz 2026

Avo, Ruby on Rails uygulamaları için yönetim panelleri oluşturmak amacıyla kullanılan bir çerçevedir. 3.32.1 ve 4.0.0.beta.51 sürümlerinden önceki sürümlerde, Avo'nun ilişki ekleme iş akışı UI'da attach_<association>? kontrolü yapar ve GET /resources/:resource/:id/:related/new yolu üzerinden bu işlemi gerçekleştirir, ancak ilişkiyi değiştirmek için kullanılan gerçek yazma endpointı olan POST /resources/:resource/:id/:related, Avo::AssociationsController#create aracılığıyla ilişkiyi değiştirmeden önce aynı yetkilendirme kontrolünü çalıştırmaz. Kimliği doğrulanmış düşük ayrıcalıklı bir Avo kullanıcısı, düzenlenmiş bir POST isteğini göndererek gizli veya devre dışı bırakılmış ekleme kontrollerini atlayabilir ve ilgili kayıtları bir ana kayda doğrudan ekleyebilir, bu da yetki yükselmesine ve ilişkilerin yetki taşıyan ilişkileri temsil ettiği durumlarda çoklu kiracı verisi açığa çıkmasına neden olabilir. Bu sorun 3.32.1 ve 4.0.0.beta.51 sürümlerinde giderilmiştir.

Orijinal açıklama (İngilizce)

Avo is a framework to create admin panels for Ruby on Rails apps. Prior to 3.32.1 and 4.0.0.beta.51, Avo's association attach workflow checks attach_<association>? in the UI and GET /resources/:resource/:id/:related/new path, but the actual write endpoint, POST /resources/:resource/:id/:related, does not run the same authorization check before mutating the association through Avo::AssociationsController#create. An authenticated low-privileged Avo user can bypass hidden or disabled attach controls and directly attach related records to a parent record by sending a crafted POST request, which can lead to privilege escalation and cross-tenant data exposure where associations represent authorization-bearing relationships. This issue is fixed in versions 3.32.1 and 4.0.0.beta.51.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.