PT-2026-34219 · Craft Cms · Craft Cms

Publicado 2026-04-14 · Atualizado 2026-04-25 · CVE-2026-41128

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions Craft CMS versões 5.6.0 até 5.9.14

Description O endpoint 'actionSavePermissions()' permite que um usuário com apenas a permissão viewUsers remova usuários arbitrários de todos os grupos de usuários. Isso ocorre porque a função saveUserGroups() impõe a autorização para adicionar usuários a grupos, mas não realiza uma verificação de autorização equivalente para remoções. Consequentemente, o envio de um valor groups vazio resulta na remoção de todas as associações de grupo existentes.

Recommendations Atualizar para a versão 5.9.15.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-41128

GHSA-JQ2F-59PJ-P3M3

Produtos afetados

Craft Cms

Referências · 8

• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/commit/b135384808ad43fcf8836a9dd9b877fb0087bc27 · Nota
• https://github.com/craftcms/cms/security/advisories/GHSA-jq2f-59pj-p3m3 · Nota
• https://twitter.com/infoflowcloud/status/2048169277136454050 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-jq2f-59pj-p3m3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41128 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048168404373406117 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2046827877736354046 · Publicação no Twitter