CVE-2026-86731
Açıklama
Craft CMS 5.0.0-RC1 ile 5.10.11 arasındaki sürümlerde, UsersController::actionActivateUser (users/activate-user eylemi) içerisinde bir admin-target koruması eksiktir. Eylem administrateUsers izni gerektirse de, actionDeactivateUser benzer eyleminin aksine, hedeflenen kullanıcı bir yönetici olduğunda requireAdmin() fonksiyonunu çağırmamaktadır. Sonuç olarak, yönetici olmayan ancak administrateUsers iznine sahip kimliği doğrulanmış bir kontrol paneli kullanıcısı; bekleyen veya kasıtlı olarak devre dışı bırakılmış bir yönetici hesabını etkinleştirebilir ve bu durum söz konusu hesabın şifresinin sıfırlanmasıyla birleştiğinde yetki yükseltmeye yol açabilir. Sorun Craft CMS 5.10.12 sürümünde giderilmiştir.
Nasıl düzeltilir
- craftcms cms5.10.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms cms | 5.0.0-RC1 ≤ v < 5.10.12 | 5.10.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.