CVE-2026-109306 in Craft CMS
Riassunto
di VulDB • 14/10/2026
Craft CMS dalle versioni 5.0.0 alla versione precedente a 5.10.14 presenta una vulnerabilità di mancata autorizzazione (missing authorization) nella funzione AppController::actionSwitchToLicensedEdition() che consente a qualsiasi utente autenticato di modificare l'edizione installata. Gli utenti front-end con privilegi ridotti possono invocare il route dell'action quando l'edizione licenziata non corrisponde, causando un downgrade persistente dell'edizione del sito nel project config, operazione che gli amministratori non possono invertire dal pannello di controllo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.