CVE-2026-50280
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Craft CMS w wersjach od 5.0.0-RC1 do 5.9.20 stwierdzono podatność polegającą na nieprawidłowej autoryzacji w endpointzie EntriesController::actionMoveToSection(). Uwierzytelniony użytkownik z niskimi uprawnieniami może przenieść wpis do sekcji, do której ma tylko dostęp do odczytu, bez wymaganych uprawnień zapisu, co narusza model autoryzacji na poziomie sekcji.
Ocena ryzyka
Organizacja narażona jest na naruszenie granic redakcyjnych i obchodzenie przepływów zatwierdzania, co może prowadzić do nieautoryzowanego wstrzykiwania treści do chronionych sekcji oraz zakłócenia logiki biznesowej specyficznej dla sekcji.
Rekomendacja
Należy niezwłocznie zaktualizować Craft CMS do wersji 5.9.21 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Craft CMS
Zobacz wszystkie- CVE-2026-72784Średnie
Craft CMS w wersjach >= 5.0.0-RC1 przed 5.10.6 oraz >= 4.0.0-RC1 przed 4.18.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w mutacji GraphQL save<Volume>Asset, która pobiera adres URL dostarczony przez atakującego po stronie serwera. Walidacja anty-SSRF jest niekompletna: validateIp() nie obejmuje zakresów CGNAT (100.64.0.0/10) ani NAT64 (64:ff9b::/96), a jedyne sprawdzenie IP odbywa się po wysłaniu żądania. Atakujący posiadający token GraphQL z uprawnieniami tylko do tworzenia zasobów może ujawnić wewnętrzną zawartość HTTP z celów CGNAT/NAT64, wymusić wychodzące żądania GET do wewnętrznych hostów (w tym RFC1918, loopback i endpointy metadanych) oraz enumerować wewnętrzne usługi.
- CVE-2026-72781Wysokie
Craft CMS w wersjach od 5.0.0-RC1 przed 5.10.7 i od 4.0.0-RC1 przed 4.18.3 zawiera podatność zdalnego wykonania kodu w mechanizmie piaskownicy Twig, która pozwala uwierzytelnionemu atakującemu z dostępem do panelu administracyjnego na wykonanie dowolnego kodu.
- CVE-2026-72779Średnie
Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera podatność na dowolny odczyt plików. Funkcja Twig create() ogranicza tworzenie instancji klas za pomocą listy blokującej zawierającej 5 wpisów, która nie obejmuje SplFileObject, co pozwala uwierzytelnionemu administratorowi (z allowAdminChanges=true) skonfigurować złośliwy format tytułu lub URI wpisu, który tworzy instancję SplFileObject w kontekście szablonu bez sandboxa. Gdy użytkownik następnie utworzy wpis w dotkniętej sekcji, dowolne pliki na serwerze (takie jak .env zawierający klucz bezpieczeństwa i poświadczenia bazy danych) są odczytywane i renderowane jako tytuły wpisów.
- CVE-2026-31266Wysokie
Craft CMS w wersji 5.9.5 i wcześniejszych zawiera lukę w autoryzacji w punkcie końcowym migracji (/actions/app/migrate).
- CVE-2026-44012Wysokie
Craft CMS przed wersją 5.9.18 ma podatność w AssetsController::actionShowInFolder(), która pozwala na pobranie nazwy pliku i pełnej hierarchii folderów zasobu bez sprawdzania uprawnień użytkownika. Każdy uwierzytelniony użytkownik CP, nawet bez uprawnień do woluminów, może enumerować nazwy plików zasobów i strukturę folderów.
- CVE-2026-44011Wysokie
Craft CMS zawiera lukę w obsłudze wejścia, która pozwala uwierzytelnionym użytkownikom na wstrzykiwanie złośliwej konfiguracji i wykonywanie dowolnych poleceń na serwerze. Problem dotyczy wersji od 4.0.0 do przed 4.17.12 oraz 5.9.18.
- CVE-2026-44010Wysokie
Craft CMS ma podatność, która pozwala na odczytanie danych adresowych przez użytkowników z niskimi uprawnieniami. Problem dotyczy braku filtrowania zakresu schematu w zapytaniach GraphQL, co umożliwia dostęp do danych osobowych użytkowników z innych grup.
- CVE-2025-68455Wysokie
Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) po uwierzytelnieniu, poprzez złośliwie załączony Behavior. Atak wymaga dostępu administratora do panelu sterowania Craft.
- CVE-2025-68454Wysokie
Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 jest podatny na zdalne wykonanie kodu (RCE) poprzez atak SSTI w silniku szablonów Twig. Luka wymaga uwierzytelnienia i dostępu administratora do panelu sterowania (przy włączonej opcji allowAdminChanges) lub konta niebędącego administratorem z dostępem do narzędzia System Messages. Atakujący może wykorzystać filtr `map` w polach tekstowych akceptujących kod Twig, co prowadzi do wykonania złośliwego kodu.
- CVE-2025-68456Krytyczne
Craft to platforma do tworzenia cyfrowych doświadczeń. W wersjach 5.0.0-RC1 do 5.8.20 oraz 3.0.0 do 4.16.16 nieuwierzytelnieni użytkownicy mogą wywołać operacje tworzenia kopii zapasowych bazy danych poprzez określone akcje administracyjne, co może prowadzić do wyczerpania zasobów lub ujawnienia informacji. Użytkownicy powinni zaktualizować do wersji z poprawką (5.8.21 i 4.16.17). Użytkownicy Craft 3 powinni zaktualizować do najnowszych wersji Craft 4 i 5, które zawierają poprawki.
Oryginalny opis (angielski, źródło NVD)
Craft CMS is a content management system (CMS). In versions 5.0.0-RC1 and above prior to 5.9.21, the EntriesController::actionMoveToSection() endpoint gates the destination section only by viewEntries:$section->uid rather than requiring saveEntries permission (the source entry is separately checked via Entry::canMove()). As a result, a low-privileged authenticated control-panel user who can move an entry out of its current section can call moveEntryToSection() to rewrite the entry's sectionId and save it into a section where they have read access but no write access. This breaks the section-level authorization model, letting a user with limited permissions inject content into a protected section and interfere with editorial boundaries, approval workflows, and section-specific business logic. This issue has been fixed in version 5.9.21.