CVE-2026-111352
Beschrijving NL
ThinkCMF tot en met versie 8.0.1 bevat een kwetsbaarheid in RestAdminBaseController die een onjuiste autorisatiefout veroorzaakt. Hierdoor kunnen beheerders met beperkte rechten alle REST API-eindpunten voor beheerders aanroepen, omdat Auth::check() een foutmelding geeft wanneer er geen admin_api-regel bestaat. Aanvallers met een geldig API-token van het type admin kunnen e-mailadressen en mobiele nummers van leden opvragen, leden uitschakelen en de PUT admin/roles/{id}/authorize-aanvraag gebruiken om zichzelf volledige beheerdersrechten te verlenen.
Origineel (Engels) tonen
ThinkCMF through 8.0.1 contains an incorrect authorization vulnerability in RestAdminBaseController that allows restricted backend administrators to call every admin REST API endpoint because Auth::check() fails open when no admin_api rule exists. Attackers with a valid admin-type API token can list member emails and mobile numbers, disable members, and call PUT admin/roles/{id}/authorize to grant themselves full administrator rights.