CVE-2026-119661
ShowDoc through 3.9.5 Authorization Bypass via paramDescLib deleteEntries
CVSS 3.1Low
2.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите ShowDoc до версии выше 3.9.5 или ограничьте доступ к маршруту api/paramDescLib/deleteEntries на уровне WAF/reverse proxy.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В ShowDoc обнаружен обход авторизации в обработчике массового удаления записей описания параметров. Уязвимость позволяет удалять чужие записи без прав владельца.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В эндпоинте api/paramDescLib/deleteEntries версии ShowDoc до 3.9.5 включительно проверка прав на редактирование выполняется исключительно для первого идентификатора из переданного массива. Последующие элементы списка валидацию не проходят.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированное удаление данных: авторизованный атакующий может указать ID своей записи первым в запросе, а следом перечислить чужие идентификаторы, безвозвратно удаляя записи параметров других пользователей.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
star7thShowDoc
>= 0➔Патч не выпущен
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/star7th/showdoc/issues/2612
- github.comhttps://github.com/star7th/showdoc/commit/53228511e656904abf7841c3d25ff78a4b5ce9c2
- github.comhttps://github.com/star7th/showdoc/blob/v3.9.5/server/app/Api/Controller/ParamDescLibController.php#L545-L584
- hackmd.iohttps://hackmd.io/@hieuPenguinnn/showdoc-paramdesclib-cross-item-idor-delete
- github.comhttps://github.com/star7th/showdoc
- www.vulncheck.comhttps://www.vulncheck.com/advisories/showdoc-through-3.9.5-authorization-bypass-via-paramdesclib-deleteentries
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-119661: ShowDoc through 3.9.5 Authorization Bypass via paramDescLib deleteEntries. URL: https://cve.futuretools.ru/cve/CVE-2026-119661
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_119661,
title = {{CVE-2026-119661: ShowDoc through 3.9.5 Authorization Bypass via paramDescLib deleteEntries}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119661}},
note = {Оперативный инженерный анализ киберугроз}
}