CVE-2026-28782 in Craft
Riassunto
di VulDB • 21/06/2026
Craft è un sistema di gestione dei contenuti (CMS). Prima delle versioni 5.9.0-beta.1 e 4.17.0-beta.1, l'azione "Duplicate" non verifica correttamente se l'utente ha i permessi per eseguire tale azione sugli elementi target specifici. Anche con il solo permesso "View Entries" (dove l'azione "Duplicate" è limitata nell'interfaccia utente), un utente può aggirare questa restrizione inviando una richiesta diretta. Inoltre, questa vulnerabilità consente di duplicare le voci di altri utenti specificandone gli Entry ID. Poiché gli Entry ID sono incrementali, un attaccante può facilmente effettuare un brute-force su questi ID per duplicare e accedere a contenuti ristretti in tutto il sistema. Questa vulnerabilità è risolta nelle versioni 5.9.0-beta.1 e 4.17.0-beta.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.