piccolo-admin has a privilege escalation issue - admin to superuser via session-token disclosure in GET /api/tables/sessions/. — GHSA-2GH4-JMWQ-RR8W

GitHub · GitHub · GHSA-2GH4-JMWQ-RR8W

ID
GHSA-2GH4-JMWQ-RR8W

Datum
2026-08-28

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.8

Zusammenfassung

## Summary `piccolo_admin` uses a helper called `superuser_validators` to gate access to the user and session tables for non-superusers. The helper rejects `PUT`, `PATCH`, `DELETE`, and `POST`, but **does not reject `GET`**. The `sessions` table stores live session tokens **in plaintext**, and the token column is not marked `secret=True`, so it is included in every `GET` response. Any non-superuser admin can…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-08-28

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.8 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: pip: piccolo-admin.

Produkt

pip: piccolo-admin

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-2GH4-JMWQ-RR8W
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-08-28
Letzte Quellenaktivität: 2026-08-28
Weitere Kennungen: CVE-2026-55485
Kuratiert von: hlukh.ch