Résumé
généré automatiquement à partir des données NVDmadong-admin-saas jusqu'à la version 5.1.4 présente une absence d'authentification (CWE-306) dans l'API de gestion des locataires de la plateforme : la clé de middleware 'platformapi' ne correspond jamais à l'application 'platform'. Un attaquant distant non authentifié peut appeler les endpoints /platformapi/tenant/account, bind-plan et sync-data pour lister, créer, modifier, désactiver ou supprimer des tenants et associer des plans d'abonnement. Score CVSS v3.1 de 9.4 (critique).
Description NVD (anglais)
madong-admin-saas through 5.1.4 contains a missing authentication vulnerability in the platform tenant management API because the 'platformapi' middleware key never matches the 'platform' application. Unauthenticated remote attackers can call /platformapi/tenant/account, bind-plan and sync-data endpoints to list, create, modify, disable or delete tenants and bind subscription plans.
Articles d'analyse sur cveo.tech
Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.
Score CVSS v3.1
Informations
- Publié
- 2 nov. 2026
- Mis à jour
- 2 nov. 2026
- Statut
- Received
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-306
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.