CVE-2026-92589 in Craft CMS
要約
〜によって VulDB • 2026年09月17日
Craft CMS 5.0.0から5.10.12（5.10.13で修正済み）には、nested-elements reorderエンドポイントにおけるbroken access controlの欠陥が含まれています。viewEntriesおよびviewPeerEntries権限を持つがsavePeerEntries権限を持たない認証済みコントロールパネルユーザーが、他の著者のエントリーを読み取り専用モードで開くと、Craftはそのセッションに対してエントリのMatrix/Addressフィールドに対する`manageNestedElements::<ownerId>::field:<handle>`の認可フラグを無条件に付与します。対応するdeleteエンドポイントとは異なり、actions/nested-elements/reorderはこのセッションフラグのみを信頼し、所有者要素に関する呼び出し元のsave権限を再確認しません。その結果、読み取り専用ユーザーは、読み取り専用ページのソースに含まれるownerElementType、ownerId、ownerSiteId、attribute、elementIds、offsetパラメータを使用してactions/nested-elements/reorderにPOSTを送信し、保存アクセスが明示的に拒否されているコンテンツに属するMatrixブロックやAddressのソート順序を書き換えることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.