CVE-2026-92589 in Craft CMS
Сводка
по VulDB • 17.09.2026
В Craft CMS версий 5.0.0 через 5.10.12 (исправлено в версии 5.10.13) обнаружена уязвимость нарушенного контроля доступа во внутреннем эндпоинте для изменения порядка элементов (`nested-elements reorder`). Когда аутентифицированный пользователь панели управления с правами `viewEntries` и `viewPeerEntries` (но без прав `savePeerEntries`) открывает запись другого автора в режиме только для чтения, Craft бессловесно предоставляет этой сессии флаг авторизации `manageNestedElements::<ownerId>::field:<handle>` для полей Matrix/Address записи. В отличие от соответствующего эндпоинта удаления (`delete`), действия `/actions/nested-elements/reorder` доверяют только этому флагу сессии и никогда не перепроверяют права вызывающего на сохранение владельца элемента. В результате пользователь, имеющий доступ только для чтения, может отправить POST-запрос в `/actions/nested-elements/reorder`, используя параметры `ownerElementType`, `ownerId`, `ownerSiteId`, `attribute`, `elementIds` и `offset`, присутствующие в исходном коде страницы только для чтения, и изменить порядок сортировки блоков Matrix или адресов, принадлежащих контенту, к которому у него явно запрещен доступ на сохранение.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.