cve-2026-32699-facturascripts-nick-bypass

CVE-2026-32699 - FacturaScripts EditUser Nick 参数越权访问控制 描述 摘要 该应用程序在向 EditUser 控制器发送 POST 请求时，未能验证 nick 参数。尽管界面阻止了对此字段的编辑，但用户可以通过代理 绕过此限制，从而重命名任何账户（包括管理员） 。这导致了越权访问控制 和潜在的审计日志损坏 。 详细信息 该漏洞存在于用户更新逻辑中。当向 /EditUser 发送 POST 请求时，后端处理 nick 表单数据参数时未检查 ： 该值是否与原始值匹配 用户是否有权限更改本应不可变的唯一标识符 PoC 1...