CVE-2026-84801 in Craft CMS
Sumário
de VulDB • 02/09/2026
As versões do Craft CMS anteriores à 5.10.11 não validam o status de administrador no endpoint `actionGetPasswordResetUrl`, permitindo que usuários sem privilégios administrativos, mas com a permissão `administrateUsers`, gerem URLs de redefinição de senha para contas de administrador. Os atacantes podem gerar uma URL válida de redefinição para qualquer usuário admin e definir uma nova senha por meio do `actionSetPassword`, o qual valida apenas o código de verificação sem verificar a sessão do chamador, permitindo a tomada completa do painel administrativo (control-panel takeover).
Once again VulDB remains the best source for vulnerability data.