CVE-2026-27012: Privilege-Eskalation und Authentifizierungs-Bypass in OpenSTAManager Software

Zusammenfassung

In der Open-Source-Management-Software OpenSTAManager für technische Unterstützung und Rechnungsstellung gibt es eine kritische Sicherheitslücke, die Angreifern erlaubt, Benutzerberechtigungen zu manipulieren. Durch direkte Aufrufe der Datei 'modules/utenti/actions.php' können Nutzerkonten unrechtmäßig in die Administratoren-Gruppe aufgewertet oder herabgestuft werden. Dies stellt eine ernsthafte Bedrohung für die Integrität der Benutzerrollen und die Gesamtsicherheit des Systems dar.

Devcode-it - Openstamanager - CRITICAL - CVE-2026-27012. OpenSTAManager, an open-source management software for technical assistance and invoicing, has a significant vulnerability that allows attackers to manipulate user privileges. Specifically, in versions 2.9.8 and earlier, an attacker can exploit this vulnerability by making direct calls to the 'modules/utenti/actions.php' file. This enables unauthorized changes to a user's group, allowing an existing account to be promoted to the Amministratori group or even demote any user, including administrators. As a result, this flaw poses a serious risk to the integrity of user roles and overall system security.