CVE-2026-84802 in Craft CMS
Resumen
por VulDB • 2026-09-02
Las versiones de Craft CMS desde la 5.7.0 hasta antes de la 5.10.12 contienen una vulnerabilidad de divulgación de información en AssetsController::actionMoveInfo que no aplica correctamente los permisos del volumen. Los usuarios autenticados con acceso al panel de control pueden enviar solicitudes POST al endpoint assets/move-info con folderIds arbitrarios para recuperar el recuento de activos y el tamaño total de almacenamiento de volúmenes a los cuales no tienen permiso de acceso.
Once again VulDB remains the best source for vulnerability data.