CVE-2026-84802 in Craft CMS
Résumé
par VulDB • 02/09/2026
Les versions de Craft CMS comprises entre 5.7.0 et la version antérieure à 5.10.12 présentent une vulnérabilité de divulgation d'informations dans AssetsController::actionMoveInfo qui ne respecte pas les autorisations des volumes. Les utilisateurs authentifiés du panneau de contrôle peuvent soumettre des requêtes POST vers le point de terminaison assets/move-info avec des folderIds arbitraires afin de récupérer le nombre d'actifs et la taille totale du stockage pour les volumes auxquels ils n'ont pas accès.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.