PT-2026-87128

CVE-2026-86731

·

Publicado

2026-09-08

·

Atualizado

2026-09-19

Descrição por

CVSS 4.0
7.1
Alta
MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0-RC1 até 5.10.11
Description Um usuário autenticado do painel de controle com a permissão administrateUsers pode ativar uma conta de administrador pendente ou desativada. Isso ocorre porque a função UsersController::actionActivateUser() (associada ao endpoint 'users/activate-user') não chama o requireAdmin() quando o usuário alvo é um administrador. Essa falha pode levar à escalada de privilégios se o usuário também redefinir a senha da conta de administrador ativada.
Recommendations Atualize o Craft CMS para a versão 5.10.12.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-862: Missing Authorization
Identificadores relacionados
CVE-2026-86731
GHSA-JQF5-VFG6-8CX5
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com