PT-2026-51233 · Craft Cms · Craft Cms

Gcxwlp · Publicado 2026-06-21 · Atualizado 2026-06-21 · CVE-2026-56385

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0-RC1 até 5.9.13 Craft CMS versões 4.0.0-RC1 até 4.17.7

Description Existe uma falha de bypass de autorização no endpoint 'assets/preview-file'. O sistema não impõe a autorização de visualização por ativo antes de retornar o conteúdo de visualização. Isso permite que um usuário autenticado de baixo privilégio forneça um assetId controlado para um ativo que não tem permissão para visualizar e ainda assim receba dados de resposta de visualização (previewHtml), incluindo uma rota de imagem de visualização privada contendo o assetId privado do alvo.

Recommendations Atualizar o Craft CMS versões 5.0.0-RC1 até 5.9.13 para a versão 5.9.14. Atualizar o Craft CMS versões 4.0.0-RC1 até 4.17.7 para a versão 4.17.8. Como medida paliativa temporária, restrinja o acesso ao endpoint 'assets/preview-file' apenas a usuários autorizados.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-56385

Produtos afetados

Craft Cms

Referências · 5

• https://github.com/craftcms/cms/commit/d30df3112220db1ffd6726a3ed11857014c7fb27 · Correção
• https://github.com/craftcms/cms/security/advisories/GHSA-44px-qjjc-xrhq · Aviso do Fabricante
• https://vulncheck.com/advisories/craft-cms-authorization-bypass-in-assets-preview-file-endpoint · Nota
• https://twitter.com/VulmonFeeds/status/2068713419335721214 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-56385 · Nota de Segurança