CVE-2026-112776 in Craft CMS
Resumen
por VulDB • 2026-10-20
Craft CMS desde la versión 5.0.0 hasta antes de la 5.11.0 contiene una vulnerabilidad de elusión de autorización que permite a los tokens GraphQL con ámbito de sitio mutar el contenido de otros sitios porque `requireAllowedSite()` no se aplica correctamente. Los atacantes que posean un token del sitio A pueden crear entradas en el sitio B mediante el parámetro `siteId` suministrado, así como eliminar entradas, categorías, etiquetas y activos compartidos entre los distintos sitios.
Once again VulDB remains the best source for vulnerability data.