CVE-2026-56385
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 — wyżej niż 12% wszystkich znanych CVE
Streszczenie
W wersjach Craft CMS >= 5.0.0-RC1, <= 5.9.13 oraz >= 4.0.0-RC1, <= 4.17.7 występuje luka w autoryzacji w punkcie końcowym assets/preview-file. Luka ta pozwala na ominięcie autoryzacji przeglądania zasobów przez użytkowników o niskich uprawnieniach.
Ocena ryzyka
Organizacja może być narażona na ujawnienie prywatnych danych zasobów, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację do wersji 5.9.14 lub 4.17.8, aby usunąć tę lukę w zabezpieczeniach.
Oryginalny opis (angielski, źródło NVD)
Craft CMS versions >= 5.0.0-RC1, <= 5.9.13 and >= 4.0.0-RC1, <= 4.17.7 contain an authorization bypass in the assets/preview-file endpoint. The action does not enforce per-asset view authorization before returning preview content, allowing an authenticated low-privileged user to supply a controlled assetId for an asset they are not permitted to view and still receive preview response data (previewHtml), including a private preview image route containing the target private assetId. Fixed in 5.9.14 and 4.17.8.