CVE-2026-114391highCWE-863

CVE-2026-114391: falha de alta gravidade em easysoft zentaopms

ZenTao PMS before 22.3 Authorization Bypass via Ajax Controller Methods

Publicada em

Seguir esta CVE+ Monitorar zentaopms

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.1epss 0.3%
ZenTao PMS before 22.3 contains an authorization bypass vulnerability in commonModel::isOpenMethod() that lets logged-in users skip group-based ACL checks for any method containing 'ajax'. Minimal-privilege users can call methods like task.ajaxGetByID, system.ajaxDBAuthUrl and admin.ajaxChangeTableEngine to read data, obtain database credentials, trigger CI jobs and alter tables.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
easysoft · zentaopms
CVEs relacionadas — easysoft zentaopms

No mesmo produto, das mais perigosas para as menos.

CVE-2025-5114MEDIUMeasysoft zentaopms Editor index.php edit deserializationEPSS 0.6%CVE-2026-119645HIGHZenTao PMS through 22.6 Missing Authorization via doc.ajaxGetDocEPSS 0.4%CVE-2026-111346MEDIUMZenTao PMS through 22.6 Authorization Bypass via action::editCommentEPSS 0.3%