Vulnerabilidad · Publicado 18/10/2026
ProjectSend versiones anteriores a 2.7.0 contiene un fallo de control de acceso que permite a titulares de tokens API restringidos modificar credenciales del propietario de la cuenta, incluyendo contraseña y desactivación de autenticación de dos factores. Atacantes con permisos limitados a manage_users y edit_users pueden obtener acceso total al sistema con privilegios de administrador, comprometiendo la integridad de plataformas de gestión de proyectos en empresas LATAM.
ProjectSend 2.0.0 before 2.7.0 contains an incorrect authorization vulnerability that allows restricted API token holders to change the token owner's credentials via PATCH /api/v1/users/{user}. Attackers with a token limited to manage_users and edit_users can set a new owner password, clear two-factor authentication, and sign in interactively with the owner's full role permissions.
Score: 7.2/10 — Severidad: HIGH — Estado NIST: Deferred
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE-863
Publicado en NIST NVD.