willbesec

hustoj: controlo de acessos incorreto permite apagar, fixar ou bloquear qualquer tópico do fórum

O hustoj, das versões 24.09.10 até 26.08.19, permite a qualquer utilizador registado apagar, bloquear ou fixar tópicos do fórum, incluindo anúncios de administradores, através do ficheiro threadadmin.php. CVSS 7,1.

  • Identificador: CVE-2026-106991
  • Publicado em: 2026-11-03
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 7.1 (HIGH)

Descrição (texto original em inglês):

hustoj >=24.09.10 and <=26.08.19 is vulnerable to Incorrect Access Control. Any registered user can delete, lock, or sticky any forum thread (including admins' announcements) via threadadmin.php. The thread branch only verifies login, never authorship or admin rights.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1565.001, Manipulação de dados armazenados (Stored Data Manipulation)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (github.com)github.com
  3. Técnica MITRE ATT&CK T1190attack.mitre.org
  4. Técnica MITRE ATT&CK T1565.001attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.