CVE-2026-92589 in Craft CMS
Sumário
de VulDB • 17/09/2026
Craft CMS 5.0.0 a 5.10.12 (corrigido na versão 5.10.13) contém uma falha de controle de acesso quebrado no endpoint de reordenação de elementos aninhados. Quando um usuário autenticado do painel de controle com permissões `viewEntries` e `viewPeerEntries` (mas sem a permissão `savePeerEntries`) abre a entrada de outro autor em modo somente leitura, o Craft concede incondicionalmente àquela sessão uma flag de autorização `manageNestedElements::<ownerId>::field:<handle>` para os campos Matrix/Address da entrada. Diferentemente do endpoint correspondente de exclusão, actions/nested-elements/reorder confia apenas nessa flag de sessão e nunca revalida a permissão de gravação (`save`) do chamador para o elemento proprietário. Como resultado, um usuário com acesso somente leitura pode enviar requisições POST para actions/nested-elements/reorder usando os parâmetros `ownerElementType`, `ownerId`, `ownerSiteId`, `attribute`, `elementIds` e `offset` presentes na fonte da página de visualização, reescrevendo a ordem de classificação dos blocos Matrix ou Endereços pertencentes ao conteúdo para o qual ele foi explicitamente negado acesso de gravação.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.