CVE-2026-91998

Casdoor fino alla versione 4.4.0 contiene una vulnerabilità di bypass dell'autorizzazione nell'endpoint /api/mcp che consente agli aggressori in possesso di qualsiasi clientId e clientSecret di un'applicazione di ottenere accesso senza restrizioni all'amministrazione degli utenti in tutte le organizzazioni. Gli aggressori possono enumerare i record degli utenti, inclusi i salt delle password e gli indirizzi e-mail, creare account amministratore, modificare gli utenti esistenti ed eliminarli in qualsiasi organizzazione fornendo credenziali legittime di una singola applicazione.