CVE-2026-120429highCWE-862

CVE-2026-120429: falha de alta gravidade em owen2345 Camaleon CMS

Camaleon CMS before 2.9.2 Missing Authorization via Admin::MediaController

Publicada em

Seguir esta CVE+ Monitorar CamaleonCMS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.1epss 0.3%
Camaleon CMS before 2.9.2 contains a missing authorization vulnerability in Admin::MediaController that allows low-privileged authenticated users to bypass the role-based Media permission. Attackers can POST to /admin/media/upload to store files, read private media via download_private_file, and use crop with saved_avatar to change other users' avatars.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
owen2345 · Camaleon CMS
CVEs relacionadas — owen2345 Camaleon CMS

No mesmo produto, das mais perigosas para as menos.

CVE-2026-1776MEDIUMCamaleon CMS AWS Uploader Authenticated Path Traversal Arbitrary File ReadEPSS 0.8%CVE-2026-102261MEDIUMowen2345 Camaleon CMS Media Crop media_controller.rb crop authorizationEPSS 0.3%CVE-2026-120430MEDIUMCamaleon CMS before 2.9.2 IDOR via Admin::CategoriesControllerEPSS 0.3%