CVE-2026-84800 in Craft CMS
요약
\~에 의해 VulDB • 2026. 09. 02.
Craft CMS 버전 >= 5.0.0-RC1 및 < 5.10.11에는 AssetsController::actionReplaceFile에서 누락된 권한 확인(vulnerability)이 존재합니다. 요청에 sourceAssetId와 targetFilename은 제공되지만 assetId가 생략될 경우, 대상 자산(folder과 filename 기준)은 권한 검사 실행 후에 해결되므로 replacePeerFiles 권한이 전혀 적용되지 않습니다. 공유 폴더에서 replaceFiles 권한만 가진 인증된 저권한(author) 사용자는 공격자가 제어하는 바이트로 동일 폴더에 있는 동료(peer)의 자산 파일 내용을 덮어쓸 수 있습니다. 5.10.11에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.