CVE-2026-91998

Casdoor jusqu’à la version 4.4.0 incluse contient une vulnérabilité de contournement de l’autorisation dans le point de terminaison /api/mcp qui permet à des attaquants disposant du clientId et du clientSecret de n’importe quelle application d’obtenir un accès sans restriction à l’administration des utilisateurs dans toutes les organisations. Les attaquants peuvent énumérer les enregistrements d’utilisateurs, y compris les sels de mots de passe et les adresses e-mail, créer des comptes administrateur, modifier les utilisateurs existants et les supprimer dans n’importe quelle organisation en fournissant des identifiants légitimes provenant d’une seule application.