Heimdall Security Logo

CVE-2026-57578

Vulnérabilité critique dans dotvvm (riganti)

CVSS 9.2 · Critique
EPSS 0.6%
riganti•dotvvm•Versions : >= 5.0.0-preview01, < 5.0.0-preview09-final, >= 4.3.0, < 4.3.15, < 4.2.11

Description

DotVVM is an open source MVVM framework for web applications. Prior to 4.2.11, 4.3.15, and 5.0.0-preview09-final, AuthorizeActionFilter performs no authorization because its explicit ICommandActionFilter.OnCommandExecutingAsync, IViewModelActionFilter.OnViewModelCreatedAsync, and IPresenterActionFilter.OnPresenterExecutingAsync implementations return completed tasks instead of invoking the corresponding checks. Applications relying on this filter can therefore expose protected commands, view models, or presenters to unauthorized requests without any special bypass technique. AuthorizeAttribute correctly implements the same interfaces and can be used as a workaround. This issue is fixed in versions 4.2.11, 4.3.15, and 5.0.0-preview09-final.

Gravité et risque d'exploitation

CVE-2026-57578 obtient un score CVSS de 9.2/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.62 %, ce qui la place devant 48.9 % des CVE référencées.

Que faire ?

  • Vérifiez si dotvvm (versions >= 5.0.0-preview01, < 5.0.0-preview09-final, >= 4.3.0, < 4.3.15, < 4.2.11) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE