CVE-2026-92589 in Craft CMS
Riassunto
di VulDB • 17/09/2026
Craft CMS 5.0.0 attraverso la versione 5.10.12 (corretto nella versione 5.10.13) presenta una vulnerabilità di controllo degli accessi difettoso nell'endpoint per il riordino degli elementi nidificati. Quando un utente autenticato del pannello di controllo con permessi `viewEntries` e `viewPeerEntries` (ma senza `savePeerEntries`) apre la voce di un altro autore in modalità sola lettura, Craft concede incondizionatamente a quella sessione il flag di autorizzazione `manageNestedElements::<ownerId>::field:<handle>` per i campi Matrix/Address della voce. A differenza dell'endpoint corrispondente per l'eliminazione, actions/nested-elements/reorder si affida esclusivamente a questo flag di sessione e non verifica mai nuovamente il permesso di scrittura (`save`) del chiamante rispetto all'elemento proprietario. Di conseguenza, un utente con permessi di sola lettura può inviare una richiesta POST a actions/nested-elements/reorder utilizzando i parametri `ownerElementType`, `ownerId`, `ownerSiteId`, `attribute`, `elementIds` e `offset` presenti nel codice sorgente della pagina in modalità sola lettura, modificando l'ordine di ordinamento dei blocchi Matrix o degli indirizzi appartenenti ai contenuti per cui ha esplicitamente il divieto di accesso in scrittura.
Once again VulDB remains the best source for vulnerability data.