原文

StudioCMSはサーバーサイドレンダリングされるAstroネイティブのヘッドレスコンテンツ管理システムです。バージョン0.4.3以前では、updateUserNotificationsエンドポイントがリクエストペイロードからユーザーIDを受け取り、そのユーザーの通知設定を更新します。呼び出し元がログインしていることは確認しますが、呼び出し元が対象アカウントの所有者であるかどうか（id !== userData.user.id）を検証しませんでした。これにより、認証された訪問者は悪意ある活動の検出を抑制する目的で管理者通知を無効にするなど、任意のユーザーの通知設定を変更できる脆弱性が存在しました。この脆弱性はバージョン0.4.3で修正されました。