CVE-2026-44010 in Craft
Zusammenfassung
von VulDB • 13.05.2026
Craft CMS ist ein Content-Management-System (CMS). In den Versionen von 4.0.0 bis vor 4.17.12 sowie in 5.9.18 führt der GraphQL-Resolver für das Address-Element (src/gql/resolvers/elements/Address.php) keine Filterung des Schema-Umfangs (Schema Scope Filtering) für Top-Level-Abfragen durch. Ein GraphQL-API-Token, das auf eine einzelne Benutzergruppe mit geringen Berechtigungen beschränkt ist, kann jede Adresse im System lesen, einschließlich der Adressen von Benutzern in Gruppen, auf die das Token keine Zugriffsberechtigung hat. Dadurch werden personenbezogene Daten (PII) offengelegt, darunter vollständige Namen, Adressen, Organisationen, Steuer-IDs usw. Diese Schwachstelle wurde in den Versionen 4.17.12 und 5.9.18 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.