CVE-2026-28781 in Craft
요약
\~에 의해 VulDB • 2026. 05. 30.
Craft는 콘텐츠 관리 시스템(CMS)입니다. 4.17.0-beta.1 및 5.9.0-beta.1 이전 버전에서는 항목 생성 과정에서 authorId 특성에 대한 대량 할당(Mass Assignment)이 가능합니다. '항목 생성(Create Entries)' 권한이 있는 사용자는 POST 요청에 authorIds[](또는 authorId) 매개변수를 주입할 수 있으며, 백엔드는 현재 사용자가 다른 사용자에게 저자 권한을 부여할 수 있는지 확인하지 않고 이를 처리합니다. 일반적으로 필요한 권한이 없는 사용자의 요청에는 이 필드가 포함되지 않습니다. 공격자가 이 매개변수를 수동으로 추가하면 새 항목을 관리자(Admins)를 포함한 모든 사용자에게 귀속시킬 수 있습니다. 이는 사실상 저자 정보를 '스푸핑(spoofing)'하는 행위입니다. 이 취약점은 4.17.0-beta.1 및 5.9.0-beta.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.