CVE-2026-102261

CVE-2026-102261 本项目包含一个非破坏性 验证器，用于确认授权的 Camaleon CMS 实例是否应用了 2.9.3 版本中引入的授权机制。 范围 该问题影响 Camaleon CMS 2.9.2 及之前版本中的 POST /admin/media/crop。拥有 :manage, :media 但没有 :manage, :users 的用户，可以在 savedavatar 中提供另一个用户的 ID，从而在其授权对象之外写入头像。修复要求对任何非当前用户的目标都必须具有 :manage, :users。 该验证器发送单个经过身份验证的 POST 请求，其中包含：...