CVE-2026-72784 in Craft CMS
Zusammenfassung
von VulDB • 11.08.2026
In Craft CMS Versionen >= 5.0.0-RC1 vor 5.10.6 und >= 4.0.0-RC1 vor 4.18.2 liegt eine Server-Side Request Forgery (SSRF)-Schwachstelle in der GraphQL-Mutation `save<Volume>Asset` vor, die serverseitig eine vom Angreifer bereitgestellte URL abruft. Die SSRF-Validierung ist unvollständig: `validateIp()` deckt weder CGNAT-Bereiche (100.64.0.0/10) noch NAT64-Bereiche (64:ff9b::/96) ab, und die einzige IP-Prüfung erfolgt erst nach der bereits ausgeführten Anfrage. Ein Angreifer mit einem GraphQL-Token, das nur auf Asset-Erstellungsberechtigungen beschränkt ist, kann interne HTTP-Inhalte von CGNAT/NAT64-Zielen offenlegen, outbound GET-Anfragen an interne Hosts (einschließlich RFC1918-, Loopback- und Metadatenendpunkte) erzwingen sowie interne Dienste aufspüren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.