Craft CMS - Authorization Bypass in assets/preview-file Endpoint

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• craftcms cms

  • 5.9.14, 4.17.8не затронута
  • 5.0.0-RC1 и новее · до 5.9.14затронута · semver
  • 4.0.0-RC1 и новее · до 4.17.8затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-72785Craft CMS before 5.10.6 Authorization Bypass via structures/move-element
  37Наблюдать
• CVE-2026-84795Craft CMS before 5.10.11 Authentication Bypass via Admin Flag Inheritance
  36Наблюдать
• CVE-2026-92594Craft CMS before 5.11.0 Unauthenticated PII Disclosure via GraphQL
  34Наблюдать
• CVE-2026-92593Craft CMS 5.10.0 before 5.10.13 Authenticated Remote Code Execution
  34Наблюдать
• CVE-2026-92592Craft CMS before 4.18.6 Remote Code Execution via signed cookie
  34Наблюдать
• CVE-2026-79987Low-privilege RCE through element-search eager loading
  34Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.