CVE-2026-72785
Açıklama
Craft CMS 5.0.0-RC1 ile 5.10.5 arasındaki sürümlerde hatalı yetkilendirme zafiyeti bulunmaktadır. Bir kategori grubu için yalnızca viewCategories iznine (saveCategories olmadan) sahip bir kontrol paneli kullanıcısı, structures/move-element eylemi aracılığıyla o grubun kategori yapısını kalıcı olarak değiştirebilir — kategorileri yeniden sıralayabilir ve üst öğelerini değiştirebilir. structureEditable bayrağı, kaydetme izni yerine görüntüleme izninden hesaplanmaktadır ve StructuresController, değişiklik yapan eylemi kaydetme iznini yeniden kontrol etmeden bu okuma zamanındaki oturum iznine dayanarak yetkilendirmektedir. Bir kategorinin URI'si yapıdaki konumundan türetildiğinden, bir kategoriyi taşımak onun ve alt öğelerinin URL'sini değiştirir ve kategori taksonomisinden oluşturulan gezinme menülerini bozabilir. Sorun 5.10.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- craftcms/cms5.10.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.10.6 | 5.10.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.