CVE-2026-47233

Admidio açıq mənbəli istifadəçi idarəetmə həllidir. Versiya 5.0.9-da `modules/inventory.php` faylındakı `case 'item_delete':` hissəsinə çatışmayan `isAdministratorInventory()` yoxlaması əlavə edilmişdir. Eyni düzəliş, bütün inventar sahə tərifini silən və həmin sahəyə istinad edən hər bir `adm_inventory_item_data` sətrinə və hər bir `adm_inventory_field_options` yazısına təsir edən paralel `case 'field_delete':` operatoruna tətbiq edilməmişdir. Operator yalnız sessiyaya bağlı CSRF tokenini yoxlayır; kontroller səviyyəsində heç bir `isAdministratorInventory()` yoxlaması yoxdur və `Admidio\Inventory\Entity\ItemField::delete()` funksiyası entiti səviyyəsində bunu tələb etmir (`$gCurrentUser->isAdministrator()` yoxlamasını aparan paralel `ItemField::save()` funksiyasından fərqli olaraq). Sayta daxil ola bilən istənilən istifadəçi, bir POST sorğusu göndərməklə sistem olmayan inventar sahəsini qalıcı olaraq silə bilər. Versiya 5.0.10 yenilənmiş düzəlişi təqdim edir.