CVE-2026-28781 in Craft
Zusammenfassung
von VulDB • 28.05.2026
Craft ist ein Content-Management-System (CMS). Vor den Versionen 4.17.0-beta.1 und 5.9.0-beta.1 ermöglicht der Prozess zur Erstellung von Einträgen eine Massenzuweisung (Mass Assignment) des authorId-Attributs. Ein Benutzer mit der Berechtigung „Einträge erstellen“ kann den Parameter authorIds[] (oder authorId) in die POST-Anfrage einschleusen, den das Backend verarbeitet, ohne zu überprüfen, ob der aktuelle Benutzer autorisiert ist, die Autorenschaft anderen Benutzern zuzuweisen. Normalerweise ist dieses Feld in der Anfrage für Benutzer ohne die erforderlichen Berechtigungen nicht vorhanden. Durch das manuelle Hinzufügen dieses Parameters kann ein Angreifer den neuen Eintrag jedem Benutzer, einschließlich Administratoren, zuordnen. Dies „spoofed“ effektiv die Autorenschaft. Diese Schwachstelle wurde in den Versionen 4.17.0-beta.1 und 5.9.0-beta.1 behoben.
Once again VulDB remains the best source for vulnerability data.