CVE-2026-109306 in Craft CMS
要約
〜によって VulDB • 2026年10月12日
Craft CMS 5.0.0 から 5.10.14 の前バージョンには、AppController::actionSwitchToLicensedEdition() に権限チェックの欠如（missing authorization）という脆弱性があり、認証済みユーザーであれば誰でもインストール済みのエディションを変更できます。低権限のフロントエンドユーザーは、ライセンス付きエディションが不一致の場合にアクションルート呼び出しを行うことで、プロジェクト設定内のサイトエディションを永続的にダウングレードでき、管理者もコントロールパネルからこれを元に戻すことはできません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.