Średni Odebrany

CVE-2026-77152

opublikowano: 31.10.2026, 01:16

modyfikacja: 31.10.2026, 01:16

Ocena CVSS

5.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Luka w zabezpieczeniach nieprawidłowej autoryzacji w Drupal Field Collection dla Drupal 7 pozwala użytkownikowi z uprawnieniem „edycja kolekcji pól” na ominięcie kontroli dostępu do jednostki nadrzędnej (hosta).

Kontrola dostępu do elementów kolekcji pól (field_collection_item_access()) przyznała dostęp do edycji i usuwania każdemu użytkownikowi posiadającemu uprawnienie „edycja kolekcji pól” bez sprawdzania dostępu użytkownika do jednostki hosta. W rezultacie użytkownik posiadający „edycję kolekcji pól”, ale bez dostępu do edycji/aktualizacji encji hosta (na przykład węzła, którego nie może edytować), może edytować lub usuwać elementy kolekcji pól dołączone do tej encji, omijając zamierzone ograniczenia dostępu do encji/węzła. Poprawka wymaga dostępu do jednostki nadrzędnej oprócz pozwolenia na zbieranie pól.

Ten problem dotyczy Field Collection dla Drupala 7: wersja 7.x-1.0 do 7.x-1.2 włącznie.

>_ Słabości (CWE)

CWE-285

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve