CVE-2026-54244
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Statamic CMS przed wersjami 5.74.0 i 6.20.3 zawiera podatność w endpointcie Live Preview, który sprawdza tylko autoryzację widoku, ale akceptuje i renderuje wartości pól dostarczone przez wywołującego. Użytkownik panelu administracyjnego z uprawnieniami do widoku, ale nie do edycji, może przesłać treści, do których nie ma uprawnień, i wygenerować udostępnialny URL Live Preview.
Ocena ryzyka
Atakujący może ominąć kontrolę dostępu i publikować nieautoryzowane treści, co narusza integralność danych i może prowadzić do wycieku informacji.
Rekomendacja
Zaleca się aktualizację Statamic CMS do wersji 5.74.0 lub 6.20.3, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Statamic is a Laravel and Git powered content management system (CMS). Prior to 5.74.0 and 6.20.3, the Live Preview endpoint for existing entries and terms in src/Http/Controllers/CP/PreviewController.php only checked view authorization, but it accepts and renders caller-supplied field values. A Control Panel user with view but not edit permission could therefore submit content they were not authorized to author and generate a shareable Live Preview URL rendering it. This issue is fixed in versions 5.74.0 and 6.20.3.