CVE-2026-32755

Admidio açıq mənbəli istifadəçi idarəetmə həllidir. 5.0.6 və daha aşağı versiyalarda, modules/profile/profile_function.php faylındakı save_membership hərəkəti üzvün rol üzvlüyünün başlama və bitmə tarixləri ilə bağlı dəyişiklikləri yadda saxlayır, lakin CSRF tokenini yoxlamır. İşləyici (handler), stop_membership və remove_former_membership parametrlərini CSRF tokeninə qarşı yoxlasa da, save_membership-i bu yoxlamadan kənarda saxlayır. Üzvlük UUID-ləri autentifikasiya olunmuş istifadəçilər üçün görünən HTML mənbəyində yer aldığına görə, hücumçu hər hansı xarici səhifədə xüsusi hazırlanmış POST formasını yerləşdirə bilər və rol liderini onu göndərməyə vadar edərək, qurbanın rəhbərlik etdiyi rolların hər hansı üzvü üçün üzvlük tarixlərini gizli şəkildə dəyişə bilər. Rol liderinin sessiyasından CSRF vasitəsilə gizli şəkildə istifadə edilərək hər hansı üzvün üzvlük tarixləri manipulyasiya oluna bilər ki, bu da tarixin geriyə çəkilməsi ilə girişin dayandırılmasına, icazəsiz girişin gizli şəkildə uzadılmasına və ya rola məhdudlaşdırılmış funksiyaların ləğv edilməsinə gətirib çıxara bilər; bütün bunlar heç bir təsdiq, bildiriş və ya inzibati təsdiqsiz baş verir. Bu problem 5.0.7 versiyasında düzəldilmişdir.