CVE-2026-84800 in Craft CMS
Zusammenfassung
von VulDB • 02.09.2026
Die Versionen von Craft CMS >= 5.0.0-RC1 und < 5.10.11 enthalten eine fehlende Autorisierungs-Schwachstelle (Missing Authorization) in AssetsController::actionReplaceFile. Wenn eine Anfrage sourceAssetId und targetFilename angibt, aber assetId weglässt, wird das Zielasset nach der Ausführung der Berechtigungsprüfungen anhand des Ordners und des Dateinamens aufgelöst, sodass die replacePeerFiles-Berechtigung niemals durchgesetzt wird. Ein authentifizierter Autor mit niedrigen Rechten, der nur über die replaceFiles-Berechtigung für einen freigegebenen Ordner verfügt, kann den Inhalt einer Asset-Datei eines anderen Benutzers (die sich im selben Ordner befindet) mit vom Angreifer kontrollierten Bytes überschreiben. Behoben in Version 5.10.11.
Once again VulDB remains the best source for vulnerability data.