CVE-2026-32816

Admidio açık kaynaklı bir kullanıcı yönetim çözümüdür. 5.0.0 ile 5.0.6 arasındaki sürümlerde, modules/groups-roles/groups_roles.php dosyasındaki silme, etkinleştirme ve devre dışı bırakma modları organizasyonel roller üzerinde yıkıcı durum değişiklikleri gerçekleştirir ancak hiçbir zaman bir anti-CSRF belirteci doğrulaması yapmaz. İstemci tarafındaki kullanıcı arayüzü, callUrlHideElement() fonksiyonuna bir CSRF belirteci iletir ve bu belirteç POST gövdesine dahil edilir; fakat sunucu tarafındaki işleyiciler, bu üç mod için $_POST["adm_csrf_token"] değerini tamamen görmezden gelir. Bir rol UUID'sini keşfedebilen bir saldırgan (modül herkese açık olduğunda genel kartlar görünümünde görünür), herhangi bir harici sayfaya sahte bir POST formu yerleştirebilir ve rol_assign_roles yetkisine sahip herhangi bir kullanıcıyı organizasyon için rolleri silmeye veya değiştirmeye ikna edebilir. Rol silme işlemi kalıcıdır ve tüm üyeliklere, etkinlik ilişkilendirmelerine ve hak verilerine sirayet eder. İstismar edildiğinde bir saldırgan, delegasyon yoluyla rol atama yetkileri olan herhangi bir kullanıcıyı rolleri kalıcı olarak silmeye, ilişkili tüm üyelikleri ve etkinliklere, belgelere ve posta listelerine erişimi topluca iptal etmeye veya tüm grupları sessizce etkinleştirmeye ya da devre dışı bırakmaya ikna edebilir; hedef rol UUID'leri kimlik doğrulaması gerektirmeyen genel kartlar görünümünden kolayca toplanabilir ve veritabanı geri yükleme dışında bir geri alma yolu yoktur. Bu sorun 5.0.7 sürümünde düzeltilmiştir.