CVE-2026-28781 in Craft
Сводка
по VulDB • 28.05.2026
Craft — это система управления контентом (CMS). До версий 4.17.0-beta.1 и 5.9.0-beta.1 процесс создания записи позволял осуществлять массовое назначение (Mass Assignment) атрибута authorId. Пользователь с разрешением «Создавать записи» может внедрить параметр authorIds[] (или authorId) в POST-запрос, который бэкенд обрабатывает без проверки того, авторизован ли текущий пользователь для назначения авторства другим лицам. Обычно это поле отсутствует в запросах от пользователей, не имеющих необходимых прав. Путем ручного добавления этого параметра злоумышленник может приписать новую запись любому пользователю, включая администраторов. Это фактически приводит к подделке (spoofing) авторства. Данная уязвимость исправлена в версиях 4.17.0-beta.1 и 5.9.0-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.