CVE-2026-92589

Orta

Teknik Veri (Otomatik)

CVSS Skoru: 4.3
EPSS: —
CWE: CWE-862
KEV Durumu: Hayır

Craft CMS 5.0.0 ile 5.10.12 (5.10.13'te düzeltildi) sürümleri, iç içe öğelerin yeniden sıralama endpoint'inde kırık erişim kontrolü açığı içerir. Kimliği doğrulanmış bir kontrol paneli kullanıcısı, viewEntries ve viewPeerEntries (ancak savePeerEntries değil) ile başka bir yazarın girişini salt okunur modda açtığında, Craft bu oturuma koşulsuz olarak girişin Matrix/Adres alanları için bir `manageNestedElements::<ownerId>::field:<handle>` yetkilendirme bayrağı verir. Silme endpoint'ine karşılık gelen actions/nested-elements/reorder, bu oturum bayrağına yalnız güvenir ve çağırıcının sahibi öğe için kaydetme iznini asla yeniden denetlemez. Sonuç olarak, salt okunur bir kullanıcı, ownerElementType, ownerId, ownerSiteId, attribute, elementIds ve offset parametrelerini kullanarak actions/nested-elements/reorder'a POST isteği gönderebilir ve kaydedilmesi açıkça reddedilen içeriğe ait Matrix bloklarının veya Adreslerin sıralama düzenini değiştirebilir.

Orijinal açıklama (İngilizce)

Craft CMS 5.0.0 through 5.10.12 (fixed in 5.10.13) contains a broken access control flaw in the nested-elements reorder endpoint. When an authenticated control panel user with viewEntries and viewPeerEntries (but without savePeerEntries) opens another author's entry in read-only mode, Craft unconditionally grants that session a `manageNestedElements::<ownerId>::field:<handle>` authorization flag for the entry's Matrix/Address fields. Unlike the corresponding delete endpoint, actions/nested-elements/reorder trusts this session flag alone and never rechecks the caller's save permission for the owner element. As a result, a view-only user can POST to actions/nested-elements/reorder using the ownerElementType, ownerId, ownerSiteId, attribute, elementIds, and offset parameters present in the read-only page source and rewrite the sort order of Matrix blocks or Addresses belonging to content they are explicitly denied save access to.

Referanslar

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.