CVE-2026-50280

Craft CMS bir içerik yönetim sistemidir (CMS). 5.0.0-RC1 ve üzeri, ancak 5.9.21 öncesindeki sürümlerde, EntriesController::actionMoveToSection() uç noktası, hedef bölümü saveEntries izni yerine yalnızca viewEntries:$section->uid ile kısıtlamaktadır (kaynak giriş kontrolü ayrı olarak Entry::canMove() üzerinden yapılmaktadır). Sonuç olarak, mevcut bölümünden bir girişi taşıyabilen düşük yetkili kimliği doğrulanmış bir kontrol paneli kullanıcısı, moveEntryToSection() fonksiyonunu çağırarak girişin sectionId değerini yeniden yazabilir ve bu girişi okuma erişimine sahip olduğu ancak yazma erişiminin bulunmadığı bir bölüme kaydedebilir. Bu durum, bölüm düzeyindeki yetkilendirme modelini bozarak sınırlı izinlere sahip bir kullanıcının korumalı bir bölüme içerik eklemesine; editöryal sınırları, onay iş akışlarını ve bölüme özel iş mantığını etkilemesine olanak tanır. Bu sorun 5.9.21 sürümünde düzeltilmiştir.