CVE-2026-84801 in Craft CMS
Zusammenfassung
von VulDB • 02.09.2026
In Craft CMS vor Version 5.10.11 wird der Admin-Status im Endpunkt `actionGetPasswordResetUrl` nicht überprüft, was es Nicht-Admin-Benutzern mit der Berechtigung `administrateUsers` ermöglicht, Passwort-Zurücksetzungs-URLs für Administrator-Konten zu generieren. Angreifer können eine gültige Zurücksetzungs-URL für jeden Admin-Benutzer erstellen und ein neues Passwort über `actionSetPassword` festlegen, das nur den Verifizierungscode überprüft, ohne die Sitzung des Aufrufers zu prüfen, was einen vollständigen Übernahme der Administrationskonsole ermöglicht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.