CVE-2026-32816

Admidio açıq mənbəli istifadəçi idarəetmə həllidir. 5.0.0 və 5.0.6 versiyaları arasında, modules/groups-roles/groups_roles.php faylındakı silmə (delete), aktivləşdirmə (activate) və deaktiv etmə (deactivate) rejimləri təşkilati rollarda dağıdıcı vəziyyət dəyişiklikləri edir, lakin heç vaxt anti-CSRF tokenini yoxlamır. Müştəri tərəfli UI, callUrlHideElement() funksiyasına CSRF tokeni ötürür və bu token POST gövdəsinə daxil edilir, lakin server tərəfli idarəedicilər bu üç rejim üçün $_POST["adm_csrf_token"] dəyərini tamamilə görməzdən gəlir. Rol UUID-sini kəşf edə bilən hücumçu (modul herkese açıq olduqda ictimai kartlar görünüşündə görünür), hər hansı xarici səhifədə saxtalaşdırılmış POST formasını yerləşdirə və rol_assign_roles hüququna malik olan istifadəçini təşkilat üçün rolları silməyə və ya dəyişməyə vadar edə bilər. Rolun silinməsi qalıcıdır və bütün üzvlüklərə, hadisə əlaqələrinə və hüquq məlumatlarına şamil edilir. İstismar edildiyi təqdirdə, hücumçu nümayəndə rol təyin etmə hüququ olan istifadəçini rolları qalıcı olaraq silməyə, bütün əlaqəli üzvlükləri və hadisələrə, sənədlərə və poçt siyahılarına girişi kütləvi şəkildə ləğv etməyə və ya bütöv qrupları gizlicə aktivləşdirməyə və ya deaktiv etməyə vadar edə bilər; hədəf rol UUID-ləri autentifikasiya olunmamış ictimai kartlar görünüşündən asanlıqla əldə edilə bilir və verilənlər bazasının bərpası ilə mümkün olmayan geri qaytarma yolu yoxdur. Bu problem 5.0.7 versiyasında düzəldilmişdir.