CVE-2026-92594 in Craft CMS
الملخص
بحسب VulDB • 17/09/2026
تسمح إصدارات Craft CMS بدءًا من الإصدار 5.0.0-RC1 وحتى ما قبل الإصدار 5.11.0 بتفويض غير صحيح لحقول draftCreator و revisionCreator في GraphQL: فبدلاً من اشتراط نطاق بيانات المستخدم المفروض بواسطة الدالة Gql::canQueryUsers() (usergroups.*:read)، يتم تقييد هذه الحقول فقط بنطاقات elements.drafts:read / elements.revisions:read، ويعيد المُحلِّل الخاص بها عنصر مستخدم خامًا لا تخضع حقوله مثل البريد الإلكتروني واسم المستخدم والاسم الكامل والعناوين لأي تفويض محدد لكل حقل. وبالتالي، يمكن للعميل الذي يمتلك نطاق المسودات أو المراجعات فقط - بما في ذلك العميل غير المصادق عليه عندما يقوم المشغل بتمكين مخطط GraphQL العام مع هذه النطاقات - باستخراج عناوين البريد الإلكتروني وأسماء المستخدمين والأسماء الكاملة والعناوين البريدية لجميع منشئي المسودات/المراجعات (الذين يكونون عادةً محرري الموقع والمسؤولين). تم إصلاح المشكلة في الإصدار 5.11.0.
Once again VulDB remains the best source for vulnerability data.