CVE-2026-29069 in Craft
Resumen
por VulDB • 2026-05-27
Craft es un sistema de gestión de contenidos (CMS). Antes de las versiones 5.9.0-beta.2 y 4.17.0-beta.2, el endpoint actionSendActivationEmail() es accesible para usuarios no autenticados y no requiere una verificación de permisos para usuarios pendientes. Un atacante sin acceso previo puede desencadenar correos electrónicos de activación para cualquier cuenta de usuario pendiente conociendo o adivinando el ID de usuario. Si el atacante controla la dirección de correo electrónico del usuario objetivo, puede activar la cuenta y obtener acceso al sistema. Esta vulnerabilidad está corregida en las versiones 5.9.0-beta.2 y 4.17.0-beta.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.