CVE-2026-93365: отсутствие авторизации в Bludit CMS 3.22.0 раскрывает черновики других пользователей

В популярной лёгкой CMS Bludit, написанной на PHP, выявлена уязвимость, позволяющая непривилегированным пользователям получать доступ к материалам, которые им видеть не положено. Проблема затрагивает механизм разграничения прав внутри административной панели и может привести к утечке конфиденциальной информации до её публикации.

Подробности

Уязвимость CVE-2026-93365 затрагивает Bludit CMS вплоть до версии 3.22.0 включительно. Причина — отсутствие проверки прав владения (missing authorization) при обработке AJAX-запроса в файле bl-kernel/ajax/content-get-list.php. Пользователь, прошедший аутентификацию и обладающий ролью Author или Editor, может отправить GET-запрос к административному AJAX-эндпоинту, установив параметр draft=true. В результате выполняется функция getList() без ограничений по принадлежности страниц конкретному автору. Эндпоинт возвращает сериализованные объекты страниц по всему сайту, а не только те, что созданы запрашивающим пользователем. Таким образом, злоумышленник с рядовыми правами получает полный доступ к содержимому приватных черновиков и запланированных к публикации постов, созданных другими пользователями, включая администраторов. Это раскрывает материалы до их официального выхода, а также чувствительные заметки, которые администраторы могут хранить в непубликуемых записях. Уязвимости присвоен рейтинг CVSS 7.1 (HIGH). Для эксплуатации требуется наличие действующей учётной записи с ролью Author или Editor, поэтому атака возможна как со стороны внутреннего недоверенного пользователя, так и со стороны внешнего злоумышленника, получившего такие права.

Что делать

Администраторам сайтов на Bludit рекомендуется в первую очередь обновиться до версии, в которой уязвимость устранена. Если разработчики выпустили патч, следует проверить официальные каналы проекта и применить актуальную сборку. При отсутствии обновления можно применить временные меры:

• ограничить круг лиц, которым выдаются роли Author и Editor, и пересмотреть текущие учётные записи;
• закрыть доступ к административной части сайта (/admin/ и AJAX-эндпоинтам) на уровне веб-сервера или WAF, разрешив его только доверенным IP-адресам;
• настроить мониторинг и журналирование запросов к bl-kernel/ajax/content-get-list.php, особенно с параметром draft=true, и реагировать на подозрительную активность;
• по возможности временно ограничить функциональность непубликуемых материалов для непривилегированных ролей.

Также стоит проверить, не было ли уже допущено утечки: просмотрите логи обращений к указанному эндпоинту и оцените, не получали ли пользователи с ролями Author/Editor доступ к чужим черновикам.

Итог

CVE-2026-93365 — классический пример ошибки разграничения доступа, когда проверка подлинности учётной записи есть, а проверка её прав на конкретный объект отсутствует. Для Bludit CMS уязвимость означает риск раскрытия неопубликованных материалов и внутренних заметок. Наиболее надёжное решение — обновление до исправленной версии; до его установки помогут организационные и сетевые ограничения доступа к административным эндпоинтам.

Источник: CVE Project (cvelistV5)