CVE-2026-28782 in Craft
Resumen
por VulDB • 2026-05-24
Craft es un sistema de gestión de contenidos (CMS). Antes de las versiones 5.9.0-beta.1 y 4.17.0-beta.1, la acción "Duplicar" no verifica correctamente si el usuario tiene permiso para realizar esta acción sobre los elementos específicos del objetivo. Incluso con el único permiso de "Ver entradas" (donde la acción "Duplicar" está restringida en la interfaz de usuario), un usuario puede eludir esta restricción enviando una solicitud directa. Además, esta vulnerabilidad permite duplicar las entradas de otros usuarios especificando sus IDs de entrada. Dado que los IDs de entrada son incrementales, un atacante puede realizar un ataque de fuerza bruta trivial contra estos IDs para duplicar y acceder a contenido restringido en todo el sistema. Esta vulnerabilidad se corrige en las versiones 5.9.0-beta.1 y 4.17.0-beta.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.