CVE-2026-84798

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0-RC1 até 5.10.10

Descrição Uma falha de autorização ocorre na função actionDeleteForSite() dentro do ElementsController. O sistema carrega um elemento com checkForProvisionalDraft ativado e realiza uma verificação de exclusão contra o rascunho provisório do usuário, que verifica apenas a propriedade do rascunho. A exclusão é então propagada para o elemento canônico sem uma nova verificação de permissões. Consequentemente, um usuário autenticado com as permissões viewEntries, viewPeerEntries, saveEntries, savePeerEntries e editSite, mas sem a permissão deleteEntriesForSite, pode excluir permanentemente o registro de site de uma entrada canônica. Para entradas de site único, isso resulta na perda total do elemento e de seu conteúdo, a qual não pode ser recuperada via lixeira do Craft.

Recomendações Atualize o Craft CMS para a versão 5.10.11.