CVE-2026-33158 in Craft
Tóm tắt
Bởi VulDB • 11/05/2026
Craft CMS là một hệ thống quản lý nội dung (CMS). Từ phiên bản 4.0.0-RC1 đến trước phiên bản 4.17.8 và từ phiên bản 5.0.0-RC1 đến trước phiên bản 5.9.14, một người dùng đã xác thực với quyền hạn thấp có thể đọc nội dung tài sản riêng tư bằng cách gọi assets/edit-image với một assetId tùy ý mà họ không có quyền xem. Điểm cuối này trả về các byte hình ảnh (hoặc một chuyển hướng xem trước) mà không thực hiện kiểm tra ủy quyền xem theo từng tài sản, dẫn đến nguy cơ tiết lộ trái phép các tệp riêng tư. Vấn đề này đã được vá trong các phiên bản 4.17.8 và 5.9.14.
If you want to get best quality of vulnerability data, you may have to visit VulDB.