Vulnerabilidad · Publicado 16/10/2026
Rdiffweb presenta una falla alta en gestión de privilegios en el endpoint /api/users/{username_or_id} que permite a usuarios autenticados elevar sus permisos a administrador modificando el parámetro role en solicitudes POST. Esta vulnerabilidad afecta principalmente a empresas en LATAM que utilizan Rdiffweb para backup y recuperación de datos, exponiendo configuraciones altas y acceso no autorizado a información sensible.
Improper Privilege Management in the user management API endpoint (/api/users/{username_or_id}) in Rdiffweb allows authenticated users to elevate their privileges to administrator by modifying the role parameter in a POST request.
Score: 8.8/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-862
Publicado en NIST NVD.