CVE.futuretools
FAQ
NVD NIST
CVE-2026-54050

Sakai: IDOR in Profile Image Deletion Allows Any Authenticated User to Delete Any User's Profile Image

CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 23.5
Обновитесь до версий Sakai 23.5, 25.3 или более поздних релизов.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

IDOR в Sakai CLE позволяет любому аутентифицированному пользователю удалять аватары и аудиозаписи произношения других учетных записей.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Эндпоинты DELETE /api/users/{userId}/profile/image и DELETE /api/users/{userId}/profile/pronunciation принимают контролируемый клиентом параметр userId без проверки прав владения и валидации сессии в методах ProfileController.removeProfileImage() и ProfileServiceImpl.removePronunciationRecording(). В результате profileImageUploadedRepository.deleteById(userId) без ограничений удаляет данные произвольного пользователя.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированное удаление пользовательских медиаданных (аватары, записи произношения) в профилях сторонних пользователей.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

sakaiprojectsakai
>= 23.0➔Fix: 23.5
sakaiprojectsakai
>= 25.0➔Патч не выпущен
——
>= 23.0➔Fix: 23.5
——
>= 25.0➔Патч не выпущен
——
>= 23.0➔Fix: 23.5
——
>= 25.0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-54050: Sakai: IDOR in Profile Image Deletion Allows Any Authenticated User to Delete Any User's Profile Image. URL: https://cve.futuretools.ru/cve/CVE-2026-54050
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_54050,
  title = {{CVE-2026-54050: Sakai: IDOR in Profile Image Deletion Allows Any Authenticated User to Delete Any User's Profile Image}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-54050}},
  note = {Оперативный инженерный анализ киберугроз}
}