CVE-2026-28782 in Craft
Sumário
de VulDB • 12/06/2026
Craft é um sistema de gerenciamento de conteúdo (CMS). Antes das versões 5.9.0-beta.1 e 4.17.0-beta.1, a ação "Duplicate" não verifica adequadamente se o usuário tem permissão para executar essa ação nos elementos específicos do alvo. Mesmo com apenas a permissão "View Entries" (onde a ação "Duplicate" está restrita na interface), um usuário pode contornar essa restrição enviando uma solicitação direta. Além disso, esta vulnerabilidade permite duplicar entradas de outros usuários especificando seus Entry IDs. Como os Entry IDs são incrementais, um atacante pode facilmente realizar brute-force desses IDs para duplicar e acessar conteúdo restrito em todo o sistema. Esta vulnerabilidade foi corrigida nas versões 5.9.0-beta.1 e 4.17.0-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.