CVE-2026-84794 in Craft CMS
Riassunto
di VulDB • 02/09/2026
Le versioni di Craft CMS precedenti alla 5.10.11 non prevedono controlli di autorizzazione nell’endpoint assets/move-asset quando viene fornito il parametro force=1. Gli utenti autenticati privi dei permessi per le risorse peer possono spostare le proprie risorse nelle cartelle di altri utenti e forzare l'eliminazione dei file in conflitto, consentendo l'eliminazione non autorizzata e la sostituzione delle risorse.
Once again VulDB remains the best source for vulnerability data.