Vulnérabilité dans admidio/admidio (CVE-2026-47233)
Résumé
Vulnérabilité dans admidio/admidio (CVE-2026-47233). Les données peuvent être altérées par des attaquants. Exploitable via d37ca6b27b9674238e58491cf7ba292e66898f15. Atténuation : mise à jour vers 5.0.10 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Commit d37ca6b27b9674238e58491cf7ba292e66898f15 ("Delete item not check admin rights #2024", 2026-04-12) added a missing isAdministratorInventory() gate to case 'item_delete': in modules/inventory.php. The same fix was not applied to the sibling case 'field_delete': handler, which destroys an entire inventory field definition, cascading to every adm_inventory_item_data row that referenced that field and every adm_inventory_field_options entry. The handler validates only a session-bound CSRF token; there is no isAdministratorInventory() check at the controller level, and Admidio\Inventory\Entity\ItemField::delete() does not enforce one at the entity level either (unlike its sibling ItemField::save(), which does check $gCurrentUser->isAdministrator()). Any user who can log in to the site can permanently destroy a non-system inventory field by sending one POST.
Details
Vulnerable Code
modules/inventory.php mode dispatch at the top of the file:
// modules/inventory.php:64-72 (top-level rights gate)
if ($gSettingsManager->getInt('inventory_module_enabled') === 0) {
throw new Exception('SYS_MODULE_DISABLED');
} elseif ($gSettingsManager->getInt('inventory_module_enabled') === 2 && !$gValidLogin
|| ($gSettingsManager->getInt('inventory_module_enabled') === 3 && !$gCurrentUser->isAdministratorInventory())
|| ($gSettingsManager->getInt('inventory_module_enabled') === 4 && !InventoryPresenter::isCurrentUserKeeper() && !…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-47233 a été découverte dans admidio/admidio.
Des attaquants peuvent cibler un point d'entrée spécifique comme d37ca6b27b9674238e58491cf7ba292e66898f15 à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 6.5/10.
Action : mettez à jour admidio/admidio vers 5.0.10 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « admidio/admidio CVE-2026-47233 » sur le site de l'éditeur.
CVE-2026-47233 (admidio/admidio) — CWE-862 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : d37ca6b27b9674238e58491cf7ba292e66898f15 / adm_inventory_item_data / adm_inventory_field_options / field_delete
Correctif : 5.0.10 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-862) affecte admidio/admidio. Les attaquants atteignent le code vulnérable via d37ca6b27b9674238e58491cf7ba292e66898f15.
Consultez l'avis de l'éditeur pour les versions affectées de admidio/admidio. Surface d'attaque : d37ca6b27b9674238e58491cf7ba292e66898f15 / adm_inventory_item_data / adm_inventory_field_options / field_delete.
Gravité : Moyenne (CVSS 6.5/10). Les données peuvent être altérées par des attaquants.
Mettre à jour vers 5.0.10.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'admidio/admidio' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
admidio/admidioを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade admidio/admidio to 5.0.10ステージング環境で 5.0.10 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web security-advisories@github.com