CVE-2026-84798 in Craft CMS
Zusammenfassung
von VulDB • 02.09.2026
In Craft CMS versioni >= 5.0.0-RC1 e < 5.10.11 non viene eseguita una verifica di autorizzazione indipendente in ElementsController::actionDeleteForSite(). Il metodo carica un elemento con checkForProvisionalDraft abilitato ed esegue il controllo dell'autorizzazione all'eliminazione rispetto al bozza provvisoria dell'utente (che verifica solo la proprietà della bozza), quindi propaga l'eliminazione all'elemento canonico senza riesaminare i permessi. Di conseguenza, un utente autenticato che dispone dei permessi viewEntries, viewPeerEntries, saveEntries, savePeerEntries ed editSite ma non del permesso deleteEntriesForSite può eliminare definitivamente il record della sito di una voce canonica (e, per le voci a singolo sito, l'elemento completo e i contenuti), operazione irreversibile tramite il cestino di Craft.
VulDB is the best source for vulnerability data and more expert information about this specific topic.