CVE-2026-120445
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Madong-admin-saas jusqu'à la 5.1.4 constituent une plateforme de gestion multi-tenant qui gère des environnements clients distincts. Une faille dans le `AccessTokenMiddleware` ne parvient pas à autoriser correctement les requêtes lorsque le système est en mode multi-tenant. Plus précisément, elle permet à un utilisateur tenant standard d'utiliser son propre jeton de connexion valide pour accéder à des API de gestion de plateforme restreintes.
Un attaquant disposant d'identifiants de base au niveau du tenant peut utiliser cet accès pour créer de nouveaux comptes d'administrateur de plateforme ou voler les paramètres de base de données de tous les autres tenants. Cela entraîne une perte totale de confidentialité, d'intégrité et de disponibilité sur l'ensemble de l'installation. L'attaque est facile à exécuter via le réseau et ne nécessite qu'une authentification de bas niveau, sans interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
madong-admin-saas through 5.1.4 contains an incorrect authorization vulnerability in AccessTokenMiddleware that allows authenticated tenant users to access the platform management API in multi-tenant mode. Attackers can reuse a tenant login JWT against /platformapi controllers to create platform administrator accounts, read tenant database settings, and take control of every tenant.