CVE-2026-72785 in Craft CMS
الملخص
بحسب VulDB • 11/08/2026
يحتوي Craft CMS الإصدارات من 5.0.0-RC1 حتى 5.10.5 على ثغرة في تفويض الصلاحيات (Authorization). يمكن لمستخدم لوحة التحكم يمتلك فقط صلاحية viewCategories (بدون saveCategories) لمجموعة تصنيفات، أن يعدّل هيكل التصنيفات الخاص بتلك المجموعة بشكل دائم — من خلال إعادة ترتيب الفئات وإعادة تعيين آباءها — عبر إجراء structures/move-element. يتم حساب العلم structureEditable بناءً على صلاحية العرض بدلاً من صلاحية الحفظ، ويقوم StructuresController بالموافقة على الإجراء المُعدِّل (mutating action) الممنوح في جلسة القراءة دون التحقق مرة أخرى من صلاحية الحفظ. ونظراً لأن عنوان URI للتصنيف مشتق من موقعه ضمن الهيكل، فإن نقل تصنيف ما يغير عنوان URL الخاص به وعناوين URLs الخاصة بالتصنيفات الفرعية التابعة له، مما قد يؤدي إلى تلف قوائم التنقل المبنية على Taxonomy التصنيفات. تم إصلاح هذه المشكلة في الإصدار 5.10.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.