CVE-2026-50283

Craft CMS bir içerik yönetim sistemidir (CMS). 5.0.0-RC1 ile 5.9.20 arasındaki sürümler ve 4.0.0-RC1 ile 4.17.13 arasındaki sürümler, AssetsController::actionReplaceFile bileşeninde hem assetId hem de sourceAssetId sağlanarak kaynak varlık silme izni olmadan bir kaynak varlığın silinmesine izin veren bir yetkilendirme sorunu içermektedir. AssetsController::actionReplaceFile(), mevcut başka bir varlığı kaynak olarak kullanarak hedef bir varlık dosyasının değiştirilmesini destekler. İşlem şu şekilde yükleme yapar: assetId -> $assetToReplace ve sourceAssetId -> $sourceAsset; ardından ($assetToReplace ?: $sourceAsset) ifadesini kullanarak değiştirme izinlerini uygular. Her iki kimlik (ID) de sağlandığında, bu ifade hedef varlıkla çözümlenir, böylece kaynak varlık hacmi üzerinde herhangi bir izin kontrolü gerçekleştirilmez. Her iki varlık da mevcut olduğunda, Craft kaynak dosyayı hedefe kopyalar ve ardından kaynak varlığı siler. Kaynak varlık için herhangi bir silme kontrolü yapılmamaktadır. Bir hacimde dosyaları değiştirebilen kimliği doğrulanmış bir kullanıcı, bir sourceAssetId elde edebildiği sürece, silme iznine sahip olmadığı başka bir hacimdeki varlıkları silebilir; bu durum bozuk içerik referanslarına ve veri kaybına yol açar. Bu sorun 4.17.14 ve 5.9.21 sürümlerinde düzeltilmiştir.