CVE-2026-86731
Təsvir
Craft CMS versiyaları 5.0.0-RC1-dən 5.10.11-ə qədər olanlarda UsersController::actionActivateUser (users/activate-user hərəkəti) funksiyasında admin-hədəf mühafizəsi çatışmır. Hərəkət administrateUsers icazəsini tələb etsə də, hədəf istifadəçi administrator olduqda, actionDeactivateUser güzgü hərəkətindən fərqli olaraq, requireAdmin() funksiyasını çağırmır. Nəticədə, administrator olmayan lakin administrateUsers icazəsinə malik autentifikasiya olunmuş idarəetmə paneli istifadəçisi, gözləyişdə olan və ya qəsdən deaktiv edilmiş administrator hesabını aktivləşdirə bilər ki, bu da həmin hesabın şifrəsinin sıfırlanması ilə birlikdə imtiyazların yüksəldilməsinə səbəb ola bilər. Problem Craft CMS 5.10.12 versiyasında düzəldilib.
Necə düzəltmək olar
- craftcms cms5.10.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms cms | 5.0.0-RC1 ≤ v < 5.10.12 | 5.10.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.