- Son 7 gün
- CWE-639
CVE-2026-119708
abp-next-admin 10.4.0 through 10.7.0 Cross-Tenant File Disclosure via Blob Download-By-Name
Orta
6,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.
abp-next-admin 10.4.0 through 10.7.0 contains a cross-tenant authorization bypass in the BlobManagement download-by-name endpoint, letting authenticated users read other tenants' files. Attackers supply a victim tenantId in the request path, causing DownloadByNameAsync to switch tenant context and return blobs stored by that tenant.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| colinin abp-next-admin | ≥ 10.4.0, ≤ 10.7.0 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/colinin/abp-next-admin/pull/1633 Yama
- github.com/…ommit/3ea383093d51b18984652fc9b2d3dcc779a372ee Yama
- github.com/…ommit/fc5e6d5a8a11a65e06fe001fe4a55e414956fc0c Yama
- github.com/colinin/abp-next-admin/issues/1628 Üçüncü taraf
- hackmd.io/…-admin-blob-download-by-name-cross-tenant-idor Üçüncü taraf
- vulncheck.com/…nant-file-disclosure-via-blob-download-by-name Üçüncü taraf
- github.com/colinin/abp-next-admin Diğer
- github.com/…n/LINGYUN/Abp/BlobManagement/BlobAppService.cs Diğer
Kayıt geçmişi
- Yayımlandı