CVE-2026-66748

Camaleon CMS przed 2.9.2 zawiera podatność niebezpiecznego odwołania do obiektu (IDOR) w Admin::CategoriesController, która pozwala uwierzytelnionym użytkownikom modyfikować nieautoryzowane kategorie przez odwołanie do dowolnych identyfikatorów. Użytkownik uprawniony do jednego typu posta może wysłać żądanie update lub destroy łączące inny identyfikator kategorii z jego autoryzowanym post_type_id, aby zmienić nazwę lub usunąć kategorie.

Camaleon CMS w wersjach przed 2.9.2 zawiera podatność braku autoryzacji w Admin::MediaController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach obejść uprawnienia Media oparte na rolach. Atakujący może wysyłać żądania POST do /admin/media/upload w celu zapisywania plików, odczytywać prywatne media przez download_private_file oraz używać funkcji crop z saved_avatar do zmiany awatarów innych użytkowników.

Camaleon CMS przed wersją 2.9.3 zawiera podatność path traversal, która pozwala użytkownikom z jedynie uprawnieniem do mediów zapisywać dowolne pliki poprzez dostarczenie sekwencji ../ w parametrze name. Atakujący mogą wysłać URI data: base64 do akcji mediów crop_url, aby zapisać szablon ERB w katalogu widoków motywu, który wykonuje się podczas renderowania.

W owen2345 Camaleon CMS do wersji 2.9.2 wykryto wadę w funkcji crop w pliku app/controllers/camaleon_cms/admin/media_controller.rb w komponencie Media Crop Handler. Manipulacja argumentem saved_avatar powoduje obejście autoryzacji, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; zaleca się aktualizację do wersji 2.9.3 (poprawka c143e145caa600947e70a240e87f2fed889149d3).

Camaleon CMS w wersjach od 2.7.5 do 2.9.1 nie weryfikuje poprawnie celów przekierowań podczas pobierania zdalnych plików w funkcji 'Upload from URL'. Uwierzytelnieni atakujący mogą podać adresy URL, które przechodzą początkową walidację, ale przekierowują na adresy sieci wewnętrznej, co umożliwia atak typu SSRF (Server-Side Request Forgery) na usługi wewnętrzne.

Camaleon CMS do wersji 2.9.2 (poprawione w commicie 88ab703) zawiera podatność na brak autoryzacji w endpointcie wersji roboczych. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może tworzyć wersje robocze postów, omijając sprawdzanie ról i uprawnień, wysyłając żądania do endpointu wersji roboczych tylko z uwierzytelnieniem sesyjnym.

W Camaleon CMS 2.9.2 wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym automatycznego zapisywania wersji roboczych administratora. Uwierzytelniony użytkownik o niskich uprawnieniach może wysłać dowolne post_id do POST /admin/post_type/<POST_TYPE_ID>/drafts i nadpisać wersję roboczą powiązaną z postem innego użytkownika.

Podatność typu path traversal w Camaleon CMS w wersjach od 2.4.5.0 do 2.9.0 (przed commit f54a77e) w implementacji uploadera AWS S3. Uwierzytelnieni użytkownicy mogą odczytać dowolne pliki z systemu plików serwera poprzez manipulację parametrem 'file' w funkcji download_private_file.