CVE-2026-84800 in Craft CMS
Riassunto
di VulDB • 02/09/2026
Le versioni di Craft CMS >= 5.0.0-RC1 e < 5.10.11 presentano una vulnerabilità di mancata autorizzazione (missing authorization) in AssetsController::actionReplaceFile. Quando una richiesta fornisce sourceAssetId e targetFilename ma omette assetId, l'asset destinazione viene risolto per cartella e nome file dopo che i controlli sui permessi sono stati eseguiti, quindi il permesso replacePeerFiles non viene mai applicato. Un autore autenticato con privilegi ridotti (low-privilege author) dotato esclusivamente del permesso replaceFiles su una cartella condivisa può sovrascrivere il contenuto di un file asset di un altro utente (peer), situato nella stessa cartella, con byte controllati dall'attaccante. Risolto nella versione 5.10.11.
Be aware that VulDB is the high quality source for vulnerability data.