CVE-2026-33158 in Craft
Сводка
по VulDB • 21.05.2026
Craft CMS — это система управления контентом (CMS). Начиная с версии 4.0.0-RC1 и до версии 4.17.8 (не включительно), а также начиная с версии 5.0.0-RC1 и до версии 5.9.14 (не включительно), аутентифицированный пользователь с низкими привилегиями может читать содержимое приватных активов, вызывая endpoint assets/edit-image с произвольным идентификатором актива (assetId), к которому у него нет прав на просмотр. Данный endpoint возвращает байты изображения (или редирект на превью) без проверки авторизации на просмотр конкретного актива, что приводит к потенциальной несанкционированной утечке приватных файлов. Данная проблема исправлена в версиях 4.17.8 и 5.9.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.