CVE-2026-117554
Publiée le 2026-10-27 · Dernière modification le 2026-10-27
Les versions d'Admidio antérieures à 5.0.17 sont concernées. Ce logiciel est utilisé pour la gestion d'organisations basées sur des membres et de leurs événements. La faille existe car le système ne restreint pas correctement le champ « additional_guests », permettant aux utilisateurs d'inscrire des invités supplémentaires même lorsque l'administrateur a explicitement désactivé cette option.
Un attaquant disposant d'un compte membre standard peut exploiter cette vulnérabilité via le réseau sans aucune interaction supplémentaire de la part d'un utilisateur. En réglant le nombre d'invités pour qu'il corresponde aux places restantes, il peut instantanément saturer la capacité d'un événement. Cela impacte l'intégrité et la disponibilité du processus d'inscription en empêchant les membres légitimes de s'inscrire.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Admidio before 5.0.17 contains an improper access control vulnerability that allows authenticated members to register event guests by submitting the additional_guests field when guests are disallowed. Attackers can set additional_guests to the remaining seat count in modules/events/events_function.php to exhaust event capacity and block other members from registering.