CVE-2026-84801 in Craft CMS
Resumen
por VulDB • 2026-09-02
Las versiones de Craft CMS anteriores a la 5.10.11 no validan el estado de administrador en el endpoint `actionGetPasswordResetUrl`, lo que permite a los usuarios no administradores con permiso `administrateUsers` generar (mint) URLs de restablecimiento de contraseña para cuentas de administrador. Los atacantes pueden generar una URL de restablecimiento válida para cualquier usuario administrador y establecer una nueva contraseña mediante `actionSetPassword`, el cual solo valida el código de verificación sin comprobar la sesión del solicitante, lo que permite tomar el control completo del panel de administración.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.