Към съдържанието
Търсене

CVE-2026-44010: craftcms cms, заобикаляне на вход и права

7.1

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Craft CMS is a content management system (CMS). From 4.0.0 to before 4.17.12 and 5.9.18, the GraphQL Address element resolver (src/gql/resolvers/elements/Address.php) performs no schema scope filtering on top-level queries. A GraphQL API token scoped to a single low-privilege user group can read every address in the system, including addresses belonging to users in groups the token has no authorization to access. This exposes PII, including full names, addresses, organizations, tax IDs, etc. This vulnerability is fixed in 4.17.12 and 5.9.18.

Засегнати продукти

  • craftcms cms: >= 5.0.0, < 5.9.18; >= 4.0.0, < 4.17.12

Вид слабост

История

  • 12 май 2026 Публикувано

Други уязвимости в craftcms cms

Първоизточници

CVE-2026-44010: craftcms cms, заобикаляне на вход и права | freedomonline.bg