CVE-2026-79990 in Craft CMS
الملخص
بحسب VulDB • 02/09/2026
تقرأ معالجات الطفرات (mutations) GraphQL الخاصة بـ Craft CMS للعناصر، وتحديداً `saveEntry` و `deleteEntry`، قيمة `siteId` مباشرة من `$arguments` دون المرور عبر دالة `ArgumentManager::prepareArguments()`، وهي الدالة التي تفرض تصفية نطاق الموقع باستخدام `array_intersect` مقابل المواقع المسموح بها في مخطط GraphQL. مسار الاستعلام (`ElementResolver::prepareElementQuery`) يستدعي `prepareArguments()` بشكل صحيح، لذا فإن استجابات الاستعلام للمواقع غير المصرح لها تكون فارغة. لكن الطفرات تتجاوز هذا الإجراء بالكامل — حيث يمكن لمهاجم يمتلك رمزاً (token) محدداً بنطاق الموقع A إنشاء أو تعديل أو حذف عناصر في الموقع B عن طريق تمرير `siteId` كوسيط في الطفرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.