CVE-2026-16764

सारांश

OWASP DefectDojo 2.59.0 में एक भेद्यता की पहचान की गई थी। यह समस्या API/Web घटक की फ़ाइल dojo/api_v2/serializers.py के फ़ंक्शन UserSerializer को प्रभावित करती है। तर्क is_staff में इस तरह का हेरफेर अनुचित विशेषाधिकार प्रबंधन की ओर ले जाता है। हमला दूरस्थ रूप से किया जा सकता है। एक्सप्लॉइट सार्वजनिक रूप से उपलब्ध है और इसका उपयोग किया जा सकता है। संस्करण 2.58.3 और 3.0.0 में अपग्रेड करना इस समस्या को संबोधित करने में सक्षम है। पैच का नाम 68a272f299d096249fd3ba9c2676bf69012857bf है। प्रभावित घटक को अपग्रेड करना उचित है। 2.59.0 को जारी करने का इरादा नहीं था और इसे हटा दिया गया है।

स्रोत

• CVE-2026-16764एक्सप्लॉइट

  CVE-2026-16764 के लिए Python exploit, जो OWASP DefectDojo में एक privilege escalation है जहाँ एक is_staff REST API bypass एक low-privileged उपयोगकर्ता को superuser access प्राप्त करने देता है।