2823 matches found
CVE-2026-53639 Sylius: IDOR on Shop Payment Request API endpoints
Sylius is an Open Source eCommerce Framework on Symfony. Starting in version 2.0.0 and prior to version 2.0.18, 2.1.15, and 2.2.6, the GET /api/v2/shop/payment-requests/hash and PUT /api/v2/shop/payment-requests/hash endpoints look up the payment request solely by the hash from the URL. No...
CVE-2023-46449
CVE-2023-46449 Control de Acceso Incorrecto ENLACE DEL VIDEO POC https://www.youtube.com/watch?v=H5QnsOKjs3s Sourcecodester Free and Open Source inventory management system v1.0 es vulnerable a Control de Acceso Incorrecto. Un usuario arbitrario puede cambiar la contraseña de otro usuario y tomar...
Cve-2026-39676
Cve-2026-39676 Wordpress Versión: Download Manager 3.3.5.2 Título: Falta de autorización - Exploit IDOR no autenticado...
hdwebmobile-booking-appointments
HDWebmobile 预订与预约 通过 WooCommerce 销售可预订的服务和预约，每个时段都有容量限制，绝不会超卖。 WordPress.org: https://wordpress.org/plugins/hdwebmobile-booking-appointments/ 要求: WordPress 6.9+、WooCommerce、PHP 7.4+ 许可证: GPLv2 或更高版本 描述 HDWebmobile 预订与预约可将任何简单的 WooCommerce...
EUVD-2026-72856
WWBN AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 fails to validate ownership of liverestreamsid in resendRestreamer.json.php, allowing authenticated users with canStream to access other users' restream destinations. Attackers can broadcast their live stream to victim-configured...
CVE-2026-25197
CVE-2026-25197：通过用户可控密钥绕过授权（IDOR） 安全公告 字段| 值 ---|--- CVE| CVE-2026-25197 ICSA| ICSA-26-055-03（更新 A） CVSS 3.1| 9.1（严重） 向量| CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N CWE| CWE-639（通过用户可控密钥绕过授权） 研究人员| Michael Groberman — Gr0m 发布日期| 2026-04-02（更新 A） 产品 字段| 值 ---|--- 厂商| Gardyn 产品| Gardyn Home Kit...
CVE-2026-81802
Unauthenticated Insecure Direct Object References IDOR in WpEvently = 5.6.0 versions...
CVE-2026-52217-VTEX-Checkout-CrossTenant-IDOR
CVE-2026-52217 VTEX Commerce Platform 的 Checkout 服务中存在跨租户、跨用户的授权缺陷（IDOR / BOLA）。 字段| 值 ---|--- CVE 编号| CVE-2026-52217 厂商| VTEX 产品| VTEX Commerce Platform，Checkout 服务（chk） 影响范围| 在 chk v2.367.3 上观测到，并在 v2.374.3 上复现。根因位于 OrderForm 存储与授权层，影响整个平台。 漏洞类型| CWE-639（通过用户控制的密钥绕过授权，IDOR / BOLA）；CWE-284（访问控制不...
CVE-2026-55255-Lab
CVE-2026-55255 - Langflow 中的 /api/v1/responses IDOR 漏洞 执行摘要 此存储库包含一个本地 Docker 实验室，用于重现和验证 CVE-2026-55255，这是一个影响 Langflow 的 OpenAI 兼容 Responses API 的不安全直接对象引用 IDOR 漏洞。 Langflow 是一个用于构建和部署人工智能驱动的代理和工作流的开源平台。该漏洞行为影响 /api/v1/responses 端点，在该端点上，经过身份验证的攻击者可以提供另一个用户的流 UUID 作为 model 值，从而导致 Langflow...
CVE-2026-81802 WordPress WpEvently plugin <= 5.6.0 - Insecure Direct Object References (IDOR) vulnerability
Unauthenticated Insecure Direct Object References IDOR in WpEvently = 5.6.0 versions...
EUVD-2026-72645
Unauthenticated Insecure Direct Object References IDOR in WpEvently = 5.6.0 versions...
CVE-2026-81802
WpEvently (WordPress plugin, also listed as Mage EventPress) versions ≤ 5.6.0 contain an unauthenticated Insecure Direct Object Reference (IDOR) vulnerability. The CVSS 3.1 score is 6.5 (Medium) with a vector of AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L, indicating a network-exploitable issue requiring...
cve-2026-29204-whmcs-clientarea-addonid
CVE-2026-29204 — WHMCS 客户端区域附加组件防护 关于 CVE-2026-29204 的非官方社区说明：在 clientarea.php?action=productdetails 上，已登录客户端可以提供外部的 addonId 以及 modop=custom，从而访问不属于该会话的模块上下文。 请先升级。 应用供应商修补过的 WHMCS 版本（支持的分支上的 8.13.3 或 9.0.4 ）。参见 8.13 和 9.0 变更日志。 mitigation/ 中的钩子是一个临时的、可选的 客户端区域防护。它不是 供应商补丁，也不是...
CVE-2026-12400-Exploit
CVE-2026-12400 — FlowForms IDOR: 不正なフォーム変更 認証済み（Contributor+）によるFlowForms ≤ 1.1.1 における安全でない直接オブジェクト参照による任意のフォーム変更 脆弱性の概要...
PT-2026-86991
Unauthenticated Insecure Direct Object References IDOR in WpEvently = 5.6.0 versions...
CVE-2026-86488
In JetBrains YouTrack before 2026.2.18634 iDOR via the watchRules and issueListConfig endpoints exposed private saved searches...
CVE-2026-86489
In JetBrains YouTrack before 2026.2.18634 an IDOR in the user profile API disclosed private issues and starred folders across organizations...
CVE-2026-86479
In JetBrains YouTrack before 2026.2.18788, 2026.1.14055, 2025.3.161254 missing authorisation allowed access to restricted REST API resources via IDOR...