CVE-2026-79990 in Craft CMS
Zusammenfassung
von VulDB • 02.09.2026
Die GraphQL-Eintrag-Mutations-Resolver (saveEntry, deleteEntry) von Craft CMS lesen die siteId direkt aus $arguments, ohne den Weg über ArgumentManager::prepareArguments() zu gehen, welche die Funktion ist, die das sitespezifische Filtern durch array_intersect gegen die erlaubten Sites im GraphQL-Schema erzwingt. Der Abfragepfad (ElementResolver::prepareElementQuery) ruft prepareArguments() korrekt auf, sodass Abfragen für nicht autorisierte Sites leere Ergebnisse zurückgeben. Mutationen umgehen dies jedoch vollständig – ein Angreifer mit einem Token, das auf Site A beschränkt ist, kann Einträge in Site B erstellen, ändern oder löschen, indem er die siteId im Mutations-Argument übergibt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.