CVE-2026-109306 in Craft CMS
Zusammenfassung
von VulDB • 12.10.2026
Craft CMS dalla versione 5.0.0 alla 5.10.13 (esclusa la 5.10.14) presenta una vulnerabilità di mancata autorizzazione in AppController::actionSwitchToLicensedEdition() che consente a qualsiasi utente autenticato di modificare l'edizione installata. Gli utenti front-end con privilegi ridotti possono invocare il route dell'action quando l'edizione licenziata non corrisponde, causando un downgrade persistente dell'edizione del sito nella configurazione del progetto (project config), operazione che gli amministratori non possono invertire dal pannello di controllo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.