CVE-2026-84801

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões anteriores a 5.10.11

Description A validação insuficiente do status de administrador no endpoint 'actionGetPasswordResetUrl' permite que usuários não administradores que possuam a permissão administrateUsers gerem URLs de redefinição de senha para contas de administrador. Um invasor pode usar essas URLs para definir uma nova senha através do endpoint 'actionSetPassword', que verifica apenas o código e não checa a sessão do chamador, permitindo a tomada completa de controle do painel de controle.

Recommendations Atualize o Craft CMS para a versão 5.10.11 ou posterior.