CVE-2026-92589
Açıklama
Craft CMS 5.0.0 ile 5.10.12 arası sürümler (5.10.13 sürümünde düzeltildi), nested-elements yeniden sıralama uç noktasında hatalı bir erişim kontrolü açığı içermektedir. viewEntries ve viewPeerEntries yetkilerine sahip ancak savePeerEntries yetkisine sahip olmayan kimliği doğrulanmış bir kontrol paneli kullanıcısı, başka bir yazara ait girişi salt okunur modda açtığında; Craft, o oturuma girişin Matrix/Address alanları için koşulsuz olarak bir `manageNestedElements::<ownerId>::field:<handle>` yetkilendirme bayrağı tanımlar. İlgili silme uç noktasının aksine, actions/nested-elements/reorder yalnızca bu oturum bayrağına güvenir ve çağıran kişinin sahip öğe üzerindeki kayıt iznini asla yeniden kontrol etmez. Sonuç olarak, salt okunur erişime sahip bir kullanıcı; salt okunur sayfa kaynağında bulunan ownerElementType, ownerId, ownerSiteId, attribute, elementIds ve offset parametrelerini kullanarak actions/nested-elements/reorder adresine POST isteği gönderebilir ve açıkça kayıt erişiminin engellendiği içeriklere ait Matrix bloklarının veya Adreslerin sıralama düzenini değiştirebilir.
Nasıl düzeltilir
- craftcms cms5.10.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms cms | 5.0.0 ≤ v < 5.10.13 | 5.10.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.