PT-2026-54781 · Craft Cms · Craft Cms

Offset · Publicado 2026-07-01 · Atualizado 2026-07-02 · CVE-2026-50284

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 4.0.0-RC1 through 4.17.14 Craft CMS versões 5.0.0-RC1 through 5.9.21

Description Existe um problema na função AssetsController::actionDeleteFolder() onde o sistema verifica apenas a permissão deleteAssets:<volume-uid> para a pasta de destino. Ele não aplica a permissão deletePeerAssets:<volume-uid>, embora a função Assets::deleteFoldersByIds() realize a exclusão em cascata de todas as pastas e ativos descendentes, independentemente dos privilégios do usuário que fez o upload. Consequentemente, um usuário com baixos privilégios que possua direitos de gerenciamento de pastas em um volume compartilhado pode excluir ativos enviados por outros usuários, ignorando as verificações de permissão de pares implementadas no endpoint actionDeleteAsset.

Recommendations Atualizar para a versão 4.17.15 Atualizar para a versão 5.9.22

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-50284

Produtos afetados

Craft Cms

Referências · 5

• https://github.com/craftcms/cms/commit/b4e08977f0c9bdf002a77f9f6d1346cd55ac0598 · Nota
• https://github.com/craftcms/cms/security/advisories/GHSA-7h62-6v23-v8fm · Nota
• https://twitter.com/CVEnew/status/2072495343464485230 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-50284 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2072497006514221242 · Publicação no Twitter