CVE-2026-92589 in Craft CMS
Resumen
por VulDB • 2026-09-17
Craft CMS 5.0.0 hasta 5.10.12 (corregido en la versión 5.10.13) contiene un fallo de control de acceso defectuoso en el punto final para reordenar elementos anidados (`nested-elements reorder`). Cuando un usuario autenticado del panel de control con permisos `viewEntries` y `viewPeerEntries` (pero sin `savePeerEntries`) abre la entrada de otro autor en modo solo lectura, Craft otorga incondicionalmente a esa sesión una bandera de autorización `manageNestedElements::<ownerId>::field:<handle>` para los campos Matrix/Address de dicha entrada. A diferencia del punto final correspondiente para eliminar (`delete`), el endpoint `actions/nested-elements/reorder` confía únicamente en esta bandera de sesión y nunca vuelve a verificar el permiso de escritura (`save`) del llamante sobre el elemento propietario. Como resultado, un usuario con permisos solo lectura puede enviar una solicitud POST a `actions/nested-elements/reorder` utilizando los parámetros `ownerElementType`, `ownerId`, `ownerSiteId`, `attribute`, `elementIds` y `offset` presentes en el código fuente de la página de solo lectura, reescribiendo así el orden de clasificación (sort order) de bloques Matrix o direcciones pertenecientes a contenido al que se le ha denegado explícitamente acceso de escritura.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.