CVE-2026-47233

Admidio açık kaynaklı bir kullanıcı yönetim çözümüdür. Sürüm 5.0.9, `modules/inventory.php` dosyasındaki `case 'item_delete':` kısmına eksik olan `isAdministratorInventory()` kapısını eklemiştir. Aynı düzeltme, tüm bir envanter alan tanımını yok eden ve bu alana referans veren her `adm_inventory_item_data` satırı ile her `adm_inventory_field_options` girdisine sirayet eden kardeş `case 'field_delete':` işleyicisine uygulanmamıştır. İşleyici yalnızca oturuma bağlı bir CSRF belirtecini doğrular; denetleyici düzeyinde herhangi bir `isAdministratorInventory()` kontrolü yoktur ve `Admidio\Inventory\Entity\ItemField::delete()` yöntemi de varlık düzeyinde böyle bir kontrol zorunluluğu getirmez (`$gCurrentUser->isAdministrator()` kontrolünü yapan kardeş `ItemField::save()` yönteminin aksine). Siteye giriş yapabilen herhangi bir kullanıcı, tek bir POST isteği göndererek sistem dışı bir envanter alanını kalıcı olarak yok edebilir. Sürüm 5.0.10 güncellenmiş bir düzeltme sağlar.