CVE-2026-120448highCWE-915

CVE-2026-120448: falha de alta gravidade em doramart DoraCMS

DoraCMS through 3.1.0 Mass Assignment via API Key Update Endpoint

Publicada em

Seguir esta CVE+ Monitorar DoraCMS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 8.6epss 0.4%
DoraCMS through 3.1.0 contains a mass assignment vulnerability in the PUT /api/v1/user/api-keys/:id endpoint that allows authenticated low-privileged users to rebind their API key to another user's account. Attackers can set the userId field on their own key to a victim's id, then act as that victim to modify profiles and publish or delete content.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Produtos afetados
doramart · DoraCMS
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — doramart DoraCMS

No mesmo produto, das mais perigosas para as menos.

CVE-2026-3795MEDIUMdoramart DoraCMS v1.js createFileBypath path traversalEPSS 0.7%CVE-2026-3794MEDIUMdoramart DoraCMS Email API send improper authenticationEPSS 0.7%CVE-2026-25870MEDIUMDoraCMS <= 3.1 UEditor Remote Image Fetch SSRFEPSS 0.3%