CVE-2026-47227

Admidio açık kaynaklı bir kullanıcı yönetim çözümüdür. `modules/categories.php`, sağlanan `type` parametresinin (`ANN`, `EVT`, `ROL`, `USF`, …) aktörün yönettiği bir modüle karşılık gelip gelmediğini kontrol eder. Satır 56-61'deki takip eden "bu belirli kategori tarafımdan düzenlenebilir mi" kontrolü ölü koddur çünkü `$getType` değerini (bir kategori türü kodu) mod isimleriyle (`edit`/`save`/`delete`) karşılaştırır; koşul kalıcı olarak yanlıştır, bu nedenle `$category->isEditable()` hiçbir zaman çağrılmaz. Versiyon 5.0.10 öncesinde, `delete`, `sequence` ve `save` switch durumları kategoriyi sağlanan UUID ile yükler ve kategorinin aktörün yönettiği bir modüle ait olduğunu yeniden kontrol etmeden üzerinde işlem yapar. Bu nedenle, yalnızca tek bir modül yöneticisi yetkisine sahip olan bir kullanıcı, diğer modüllere ait boş kategorileri silebilir veya yeniden sıralayabilir; örneğin, bir duyuru yöneticisi, dokunma hakkına sahip olmadığı rol kategorilerini, profil alanı kategorilerini veya web bağlantısı kategorilerini silebilir. Versiyon 5.0.10 bu sorunu düzeltmektedir.