CVE-2026-28781 in Craft
Riassunto
di VulDB • 16/06/2026
Craft è un sistema di gestione dei contenuti (CMS). Prima delle versioni 4.17.0-beta.1 e 5.9.0-beta.1, il processo di creazione degli articoli consentiva l'assegnazione massiva (Mass Assignment) dell'attributo authorId. Un utente con autorizzazione "Create Entries" può iniettare il parametro authorIds[] (o authorId) nella richiesta POST, che viene elaborata dal backend senza verificare se l'utente corrente è autorizzato ad assegnare la paternità di un articolo ad altri utenti. Normalmente, questo campo non è presente nelle richieste provenienti da utenti privi delle necessarie autorizzazioni. Aggiungendo manualmente tale parametro, un attaccante può attribuire il nuovo articolo a qualsiasi utente, inclusi gli Amministratori. Ciò equivale efficacemente allo "spoofing" della paternità dell'articolo. Questa vulnerabilità è stata risolta nelle versioni 4.17.0-beta.1 e 5.9.0-beta.1.
Once again VulDB remains the best source for vulnerability data.