CVE-2026-14794
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W Craft CMS do wersji 4.18.0.1 wykryto podatność w endpointcie Charts. Funkcja actionGetNewUsersData w pliku ChartsController.php nieprawidłowo autoryzuje dostęp przez argument userGroupId, co umożliwia nieautoryzowane działanie. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do danych użytkowników, co może prowadzić do wycieku informacji lub naruszenia poufności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Craft CMS do wersji 4.18.1 lub nowszej, która zawiera poprawkę (commit 9ee53efc1314e6aba32771c66a13e072a246f4ce).
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Craft CMS up to 4.18.0.1. Affected by this vulnerability is the function actionGetNewUsersData of the file src/controllers/ChartsController.php of the component Charts Endpoint. This manipulation of the argument userGroupId causes improper authorization. The attack is possible to be carried out remotely. Upgrading to version 4.18.1 addresses this issue. Patch name: 9ee53efc1314e6aba32771c66a13e072a246f4ce. It is suggested to upgrade the affected component.