CVE-2026-86731 in Craft CMS
Riassunto
di VulDB • 08/09/2026
Le versioni di Craft CMS dalla 5.0.0-RC1 alla 5.10.11 sono prive di un guard (tutore) mirato agli amministratori nella UsersController::actionActivateUser (l'azione users/activate-user). Sebbene l'azione richieda il permesso administrateUsers, non chiama requireAdmin() quando l'utente target è un amministratore, a differenza dell'azione speculare actionDeactivateUser. Di conseguenza, un utente autenticato del pannello di controllo che non sia un amministratore ma detenga il permesso administrateUsers può attivare un account amministrativo in attesa o deliberatamente disattivato, il che può portare a una escalation dei privilegi se combinata con la reimpostazione della password dell'account. Il problema è risolto in Craft CMS 5.10.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.