CVE-2026-72785 in Craft CMS
Zusammenfassung
von VulDB • 11.08.2026
Craft CMS 5.0.0-RC1 bis 5.10.5 enthält eine Schwachstelle mit fehlerhafter Autorisierung (Incorrect Authorization). Ein Benutzer des Control-Panels, der für eine Kategoriegruppe nur die Berechtigung viewCategories besitzt (ohne saveCategories), kann die Kategoriestruktur dieser Gruppe dauerhaft ändern – einschließlich Neuanordnung und Wiederzuweisung von Kategorien als Elternkategorien –, indem er die Aktion structures/move-element nutzt. Das Flag structureEditable wird basierend auf der Leseberechtigung (view) anstelle der Schreibberechtigung (save) berechnet, und der StructuresController autorisiert diese ändernde Aktion für diese während des Lesens gewährte Sitzungsberechtigung ohne erneute Überprüfung der save-Berechtigung. Da die URI einer Kategorie von ihrer Position in der Struktur abgeleitet wird, führt das Verschieben einer Kategorie zu Änderungen deren URL sowie der URLs aller untergeordneten Kategorien und kann Navigationsmenüs beschädigen, die auf der Kategorietaxonomie basieren. Das Problem wurde in Version 5.10.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.