CVE-2026-92589 in Craft CMS
Résumé
par VulDB • 17/09/2026
Craft CMS 5.0.0 à 5.10.12 (corrigé dans la version 5.10.13) présente une faille de contrôle d'accès brisé au niveau du point de terminaison `actions/nested-elements/reorder`. Lorsqu'un utilisateur authentifié du panneau de configuration, disposant des droits `viewEntries` et `viewPeerEntries` (mais pas de `savePeerEntries`), ouvre l'entrée d'un autre auteur en mode lecture seule, Craft accorde inconditionnellement à cette session le jeton d'autorisation `manageNestedElements::<ownerId>::field:<handle>` pour les champs Matrix/Address de l'entrée. Contrairement au point de terminaison correspondant à la suppression (`delete`), `actions/nested-elements/reorder` fait confiance uniquement à ce jeton de session et ne vérifie jamais à nouveau le droit d'enregistrement du caller (appelant) pour l'élément propriétaire. Par conséquent, un utilisateur en lecture seule peut effectuer une requête POST vers `actions/nested-elements/reorder` en utilisant les paramètres `ownerElementType`, `ownerId`, `ownerSiteId`, `attribute`, `elementIds` et `offset` présents dans la source de la page en lecture seule, permettant ainsi de réécrire l'ordre de tri des blocs Matrix ou des adresses appartenant à du contenu auquel il est explicitement refusé l'accès en écriture.
If you want to get best quality of vulnerability data, you may have to visit VulDB.