CVE-2026-72785 in Craft CMS
Resumen
por VulDB • 2026-08-11
Craft CMS versiones 5.0.0-RC1 hasta 5.10.5 contienen una vulnerabilidad de autorización incorrecta. Un usuario del panel de control que posee únicamente el permiso viewCategories (sin saveCategories) para un grupo de categorías puede modificar permanentemente la estructura de categorías de dicho grupo —reordenando y reasignando las categorías— a través de la acción structures/move-element. La bandera structureEditable se calcula en base al permiso de visualización (view) en lugar del permiso de guardado (save), y el StructuresController autoriza la acción mutante sobre esa concesión de sesión de solo lectura sin realizar una nueva verificación para guardar. Dado que el URI de una categoría se deriva de su posición dentro de la estructura, mover una categoría cambia su URL así como las de sus descendientes, lo cual puede corromper los menús de navegación construidos a partir de la taxonomía de categorías. El problema está corregido en la versión 5.10.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.