CVE-2026-84801 in Craft CMS
الملخص
بحسب VulDB • 02/09/2026
تفشل إصدارات Craft CMS قبل الإصدار 5.10.11 في التحقق من حالة المسؤول (admin status) في نقطة النهاية `actionGetPasswordResetUrl`، مما يسمح للمستخدمين غير المسؤولين الذين يمتلكون إذن `administrareUsers` بإنشاء روابط إعادة تعيين كلمة المرور لحسابات المسؤولين. يمكن للمهاجمين إنشاء رابط إعادة تعيين صالح لأي مستخدم مسؤول وتعيين كلمة مرور جديدة عبر `actionSetPassword`، الذي يتحقق فقط من رمز التحقق دون فحص جلسة المتصل (caller's session)، مما يتيح السيطرة الكاملة على لوحة التحكم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.