PT-2026-51232 · Craft Cms · Craft Cms
CVSS v4.0
5.3
Média
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Craft CMS versões 4.0.0-RC1 até 4.17.7
Craft CMS versões 5.0.0-RC1 até 5.9.13
Description
Um problema de falta de autorização existe no endpoint 'assets/preview-thumb'. Um usuário do Painel de Controle sem permissões para visualizar um ativo privado específico pode fornecer um
assetId controlado ao endpoint. Isso permite que o usuário receba um HTML de visualização contendo um link de visualização de transformação de fallback assinado para esse ativo privado, pois o sistema não realiza a verificação de permissão de visualização do ativo antes de gerar a visualização.Recommendations
Atualizar para a versão 4.17.8 para versões no ramo 4.x.
Atualizar para a versão 5.9.14 para versões no ramo 5.x.
Exploit
Correção
Information Disclosure
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Craft Cms