https://alertas.dupin.com.ar/fabricante/easysoft/Alertas de vulnerabilidades de easysoft.esTue, 03 Nov 2026 23:37:27 +000010https://alertas.dupin.com.ar/cve/CVE-2026-121514/tg:63071Tue, 03 Nov 2026 23:37:27 +0000VulnerabilidadUna manipulación del argumento group en la función userModel::checkGroupChange del archivo module/user/model.php, componente User Module, provoca una gestión indebida de privilegios en EasySoft ZenTao PMS hasta la versión 22.6. La explotación remota es posible. El proveedor fue contactado pero no respondió.https://alertas.dupin.com.ar/cve/CVE-2026-114391/tg:60348Wed, 21 Oct 2026 13:35:08 +0000VulnerabilidadZenTao PMS anterior a 22.3 contiene una vulnerabilidad de elusión de autorización en commonModel::isOpenMethod() que permite a usuarios autenticados omitir las verificaciones ACL basadas en grupos para cualquier método que contenga 'ajax'. Usuarios con privilegios mínimos pueden invocar métodos como task.ajaxGetByID, system.ajaxDBAuthUrl y admin.ajaxChangeTableEngine para leer datos, obtener credenciales de base de datos, disparar trabajos de CI y alterar tablas.