CVE-2026-84793
ŚrednieCVSS 4.8Streszczenie
Craft CMS w wersjach od 5.0.0-RC1 do przed 5.10.11 zawiera podatność na trwały cross-site scripting w polu nazwy witryny, które nie oczyszcza danych wejściowych. Administratorzy mogą wstrzykiwać dowolne skrypty JavaScript w nazwie witryny, które wykonują się, gdy inni użytkownicy przeglądają strony ustawień panelu sterowania.
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.
Rekomendacja
Zaktualizuj Craft CMS do wersji 5.10.11 lub nowszej, która zawiera poprawkę sanityzacji danych.
Inne podatności w Craft CMS
Zobacz wszystkie- CVE-2026-79991Wysokie
Podatność w Craft CMS, gdzie resolwery mutacji GraphQL (saveEntry, deleteEntry) odczytują siteId bezpośrednio z argumentów, bez wywołania ArgumentManager::prepareArguments(), co omija filtrowanie zakresu witryny. Atakujący z tokenem ograniczonym do witryny A może tworzyć, modyfikować lub usuwać wpisy w witrynie B.
- CVE-2026-79990Wysokie
Podatność w Craft CMS, gdzie resolwery mutacji GraphQL (saveEntry, deleteEntry) odczytują siteId bezpośrednio z argumentów, bez wywołania ArgumentManager::prepareArguments(), co omija filtrowanie zakresu witryny. Atakujący z tokenem ograniczonym do witryny A może tworzyć, modyfikować lub usuwać wpisy w witrynie B.
- CVE-2026-84802Średnie
Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.
- CVE-2026-84801Wysokie
Craft CMS przed wersją 5.10.11 nie weryfikuje statusu administratora w punkcie końcowym actionGetPasswordResetUrl, co pozwala użytkownikom niebędącym administratorami z uprawnieniem administrateUsers na generowanie linków resetowania hasła dla kont administratorów. Atakujący może ustawić nowe hasło dla administratora i przejąć panel kontrolny.
- CVE-2026-84800Wysokie
Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 zawiera brak autoryzacji w AssetsController::actionReplaceFile. Gdy żądanie podaje sourceAssetId i targetFilename bez assetId, uprawnienie replacePeerFiles nie jest egzekwowane, co pozwala autoryzowanemu autorowi z uprawnieniem replaceFiles na nadpisanie plików innych użytkowników w tym samym folderze.
- CVE-2026-84799Średnie
Craft CMS przed wersją 5.11.0 nie egzekwuje filtrów zakresu grup użytkowników na natywnych relacjach GraphQL użytkowników, w tym pól author, authors, uploader, draftCreator i revisionCreator. Atakujący z tokenem GraphQL o ograniczonym zakresie mogą odpytywać te relacje, aby odczytać nazwy użytkowników, adresy e-mail i pełne nazwy dowolnego autora lub przesyłającego treści, w tym administratorów.
- CVE-2026-84798Wysokie
Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie wykonuje niezależnej kontroli autoryzacji w ElementsController::actionDeleteForSite. Metoda sprawdza uprawnienia tylko dla własnego szkicu użytkownika, a następnie usuwa kanoniczny element bez ponownej weryfikacji, co pozwala uwierzytelnionemu użytkownikowi bez uprawnienia deleteEntriesForSite na trwałe usunięcie wpisów.
- CVE-2026-84797Średnie
Craft CMS przed wersją 5.10.11 zawiera podatność na obejście autoryzacji w ElementsController::actionDuplicate(), która pozwala uwierzytelnionym użytkownikom z uprawnieniem createEntries na usuwanie cudzych wstępnych wersji roboczych. Atakujący mogą wykorzystać parametr deleteProvisionalDraft, aby usunąć niezapisany szkic innego użytkownika bez odpowiednich kontroli autoryzacji, uzyskując dostęp do treści w trakcie tworzenia.
- CVE-2026-84796Wysokie
Craft CMS przed wersją 5.10.11 zawiera podatność obejścia zakresu witryny w resolverach mutacji GraphQL, które nie weryfikują siteId przez ArgumentManager::prepareArguments(). Atakujący z tokenami ograniczonymi do jednej witryny mogą czytać, modyfikować lub usuwać wpisy w innych witrynach.
- CVE-2026-84794Wysokie
Craft CMS przed wersją 5.10.11 nie sprawdza autoryzacji w punkcie końcowym assets/move-asset, gdy podano force=1. Uwierzytelnieni użytkownicy bez uprawnień do zasobów innych użytkowników mogą przenosić własne zasoby do folderów innych użytkowników i wymuszać usuwanie konfliktowych plików.
Oryginalny opis (angielski, źródło NVD)
Craft CMS versions from 5.0.0-RC1 before 5.10.11 contain a stored cross-site scripting vulnerability in the site name field that fails to sanitize input. Administrators can inject arbitrary JavaScript payloads in the site name that execute when other users view the control panel settings pages.