CVE-2026-84797

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões anteriores a 5.10.11

Description Existe uma falha de bypass de autorização na função ElementsController::actionDuplicate(). Usuários autenticados com a permissão createEntries podem excluir rascunhos provisórios de outros usuários. Isso ocorre através da exploração do parâmetro deleteProvisionalDraft, que carece de verificações de autorização adequadas, permitindo o acesso não autorizado e a exclusão de conteúdo em andamento.

Recommendations Atualize o Craft CMS para a versão 5.10.11 ou posterior. Como medida de mitigação temporária, restrinja a permissão createEntries apenas a usuários confiáveis.