CVE-2026-50284
Açıklama
Craft CMS bir içerik yönetim sistemidir (CMS). 5.0.0-RC1 ile 5.9.21 ve 4.0.0-RC1 ile 4.17.14 arasındaki sürümlerde, assetsController::actionDeleteFolder() yalnızca hedef klasör için deleteAssets:<volume-uid> izni gerektirmektedir. Assets::deleteFoldersByIds(), yükleyicinin atanmış ayrıcalıklarına bakılmaksızın silme işlemini her alt klasöre ve içindeki her varlığa yaymasına rağmen, deletePeerAssets:<volume-uid> iznini hiçbir zaman zorunlu tutmamaktadır. Bu nedenle, paylaşılan bir hacim üzerinde klasör yönetimi hakları verilmiş düşük yetkili bir kullanıcı, kardeş actionDeleteAsset uç noktasının doğru şekilde uyguladığı varlık başına eş izin kontrolünü atlayarak diğer kullanıcılar tarafından yüklenen varlıkları (eş varlıklar) yok edebilir. Bu sorun 4.17.15 ve 5.9.22 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- craftcms/cms5.9.22, 4.17.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.9.22, 4.0.0-RC1 ≤ v < 4.17.15 | 5.9.22, 4.17.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.