CVE-2026-30945

ВысокийОпубликовано

StudioCMS: IDOR — произвольный отзыв API-токена, приводящий к отказу в обслуживании

Опубликовано: 10 мар. 2026 г.
Обновлено: 10 мар. 2026 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 25 авг. 2026 г.

Первичный CVSS

7,1/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

Оценка вероятности EPSS

0,5 %

Низкий · следующие 30 дней

Процентиль: 38,5 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

StudioCMS — это серверный, нативный для Astro, headless-система управления контентом. До версии 0.4.0 конечная точка DELETE /studiocms_api/dashboard/api-tokens позволяла любому аутентифицированному пользователю с правами редактора или выше отзывать API-токены, принадлежащие любому другому пользователю, включая учётные записи администратора и владельца. Обработчик принимает tokenID и userID непосредственно из тела запроса, не проверяя владение токеном, личность вызывающего или иерархию ролей. Это позволяет проводить целенаправленный отказ в обслуживании критически важных интеграций и автоматизаций. Уязвимость устранена в версии 0.4.0.

Источники

CVE-2026-30945-PoCPoC
Proof-of-concept эксплойт для CVE-2026-30945, IDOR в StudioCMS, позволяющий произвольный отзыв API-токенов и отказ в обслуживании. Включает режимы ручного и автоматизированного тестирования.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.