CVE-2026-84798 in Craft CMS
요약
\~에 의해 VulDB • 2026. 09. 02.
Craft CMS 버전 >= 5.0.0-RC1 및 < 5.10.11은 ElementsController::actionDeleteForSite()에서 독립적인 권한 확인을 수행하지 않습니다. 이 메서드는 checkForProvisionalDraft를 활성화하여 요소를 로드하고, 사용자의 자체 임시 초안(초안 소유권만 검증함)에 대해 삭제 권한 검사를 실행한 후, 권한을 재확인하지 않고 해당 삭제를 정본 요소로 전파합니다. 그 결과, viewEntries, viewPeerEntries, saveEntries, savePeerEntries 및 editSite 권한은 있지만 deleteEntriesForSite 권한이 없는 인증된 사용자가 정본 항목의 사이트 레코드(및 단일 사이트 항목의 경우 전체 요소와 콘텐츠)를 복구 불가능한 방식으로 하드 삭제할 수 있습니다. 이는 Craft의 휴지통을 통해 복원할 수 없습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.