CVE-2026-47227

Admidio açıq mənbəli istifadəçi idarəetmə həllidir. `modules/categories.php` faylı təqdim edilən `type` parametrinin (`ANN`, `EVT`, `ROL`, `USF`, …) aktorun idarə etdiyi modula uyğun olub-olmadığını yoxlayır. Sətirlər 56-61-də yerləşən növbəti "bu konkret kateqoriya tərəfimdən redaktə edilə bilərmi" yoxlaması ölü koddur, çünki o, `$getType`-i (kateqoriya növü kodu) rejim adları ilə (`edit`/`save`/`delete`) müqayisə edir; şərt daim yanlışdır, buna görə də `$category->isEditable()` heç vaxt çağırılmır. Versiya 5.0.10-dan əvvəl `delete`, `sequence` və `save` switch hallarında kateqoriya təqdim edilmiş UUID vasitəsilə yüklənir və kateqoriyanın aktorun idarə etdiyi modula aid olub-olmadığı yenidən yoxlanılmadan onun üzərində əməliyyat aparılır. Beləliklə, yalnız bir modul administrator hüququna malik olan istifadəçi digər modullara aid boş kateqoriyaları silə və ya onların ardıcıllığını dəyişə bilər — məsələn, elanlar administratoru toxunmağa hüququ olmadığı rol kateqoriyalarını, profil sahəsi kateqoriyalarını və ya veb-keçid kateqoriyalarını silə bilər. Versiya 5.0.10 bu problemi aradan qaldırır.