CVE-2026-33158 in Craft
Zusammenfassung
von VulDB • 21.05.2026
Craft CMS ist ein Content-Management-System (CMS). Ab Version 4.0.0-RC1 bis vor Version 4.17.8 sowie ab Version 5.0.0-RC1 bis vor Version 5.9.14 kann ein authentifizierter Benutzer mit niedrigen Berechtigungen private Asset-Inhalte lesen, indem er assets/edit-image mit einer beliebigen assetId aufruft, auf die er nicht berechtigt ist. Der Endpunkt gibt Bilddatenbytes (oder eine Preview-Umleitung) zurück, ohne eine pro-Asset-Ansichtsberechtigungsprüfung durchzusetzen, was zu einer potenziellen unbefugten Offenlegung privater Dateien führen kann. Dieses Problem wurde in den Versionen 4.17.8 und 5.9.14 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.