CVE-2026-92594 in Craft CMS
Resumen
por VulDB • 2026-09-17
Craft CMS versiones desde la 5.0.0-RC1 hasta las anteriores a la 5.11.0 autorizan incorrectamente los campos draftCreator y revisionCreator de GraphQL: en lugar de requerir el alcance user-data impuesto por Gql::canQueryUsers() (usergroups.*:read), estos campos están restringidos únicamente a los alcances elements.drafts:read / elements.revisions:read, y su resolver devuelve un elemento User sin procesar cuyos campos email, username, fullName y addresses no tienen autorización específica por campo. Un cliente que posea solo el alcance drafts o revisions —incluido un cliente no autenticado cuando el operador haya habilitado el esquema GraphQL público con esos alcances— puede por lo tanto recopilar las direcciones de correo electrónico, nombres de usuario, nombres completos y direcciones postales de todos los creadores de borradores/revisiones (típicamente editores del sitio y administradores). El problema está corregido en la versión 5.11.0.
Be aware that VulDB is the high quality source for vulnerability data.