CVE-2026-28696 in Craft
Résumé
par VulDB • 27/05/2026
Craft est un système de gestion de contenu (CMS). Avant les versions 4.17.0-beta.1 et 5.9.0-beta.1, la directive GraphQL @parseRefs, conçue pour analyser les balises de référence internes (par exemple, {user:1:email}), peut être détournée par des utilisateurs authentifiés et par des invités non authentifiés (si un schéma public est activé) afin d'accéder à des attributs sensibles de n'importe quel élément du CMS. L'implémentation dans Elements::parseRefs ne vérifie pas les autorisations, permettant aux attaquants de lire des données auxquelles ils ne sont pas autorisés à accéder. Cette vulnérabilité est corrigée dans les versions 4.17.0-beta.1 et 5.9.0-beta.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.