A ação `reordenar- conjuntos` no Craft CMSÕs `GlobalsController` está faltando a `requireAdmin()` verificando que as ações adjacentes `save-set' e `delete-set' são ambas aplicadas. Qualquer usuário do painel de controle autenticado pode POST para `/ ações/globales/reordenar- conjuntos` e reordenar permanentemente todos os conjuntos globais na configuração do projeto, independentemente de eles terem acesso ao administrador. A reordenação é escrita para a configuração do projeto e persiste em todas as solicitações. `GlobalsController` expõe três ações administrativas para gerenciar a estrutura global de conjuntos. Dois deles são portais no estado de administrador; o terceiro não. - Uma instância CMS Craft com pelo menos dois conjuntos globais e uma conta de usuário do painel de controle não- Administração.
Um usuário do painel de controle não-admin pode reordenar todos os conjuntos globais. Embora isso não exponha ou modifique conteúdo, a reordenação de conjuntos globais modifica a configuração do projeto -- um artefato versado que normalmente está comprometido com o controle de fonte e implementado em ambientes diferentes. Um atacante pode criar ruído no histórico de configuração do projeto, ativar conflitos de configuração-sincronização ou manipular a ordem de exibição vista por todos os editores no painel de administração. O mesmo usuário não-admin não pode criar ou excluir conjuntos globais porque essas ações executam corretamente `requireAdmin()`. Registro de aconselhamento: GHSA- 9 p 7 c- v 5 x 3 -rfx 8. Identificadores relacionados: CVE- 2026 - 14793.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 06 T 20: 55: 48.000 Z e lista a sua última modificação como 2026 - 08 - 06 T 20: 55: 48.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/África do Sul:N/.
Software afetado e informações de versão: Packagist package craftcms/cms — ECOSISTEM: introduzido 4.0.0 - RC 1, corrigido 4.18.1. Pacote packagist craftcms/cms — ECOSISTEM: introduzido 5.0.0 - RC 1, corrigido 5.10.3. Classificação e evidência: identificadores de fraqueza CWE- 862. O registro contém 9 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.