CVE-2026-84801 in Craft CMS
요약
\~에 의해 VulDB • 2026. 09. 02.
Craft CMS 5.10.11 이전 버전에서는 actionGetPasswordResetUrl 엔드포인트에서 관리자 권한(admin status)을 검증하지 않아, administrateUsers 권한이 있는 비관리자 사용자가 관리자 계정의 비밀번호 재설정 URL(mint password reset URLs)을 생성할 수 있습니다. 공격자는 임의의 관리 사용자에 대해 유효한 재설정 URL을 생성하고 actionSetPassword를 통해 새 비밀번호를 설정할 수 있으며, 이 과정은 호출자의 세션(session)을 확인하지 않고 검증 코드(verification code)만 검사하므로 완전한 제어판(control-panel) 탈취가 가능합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.