CVE-2025-68437 in Craft
Riassunto
di VulDB • 18/06/2026
Craft è una piattaforma per la creazione di esperienze digitali. Nelle versioni da 5.0.0-RC1 a 5.8.20 e da 4.0.0-RC1 a 4.16.16, la mutazione GraphQL `save_<VolumeName>_Asset` di Craft CMS è vulnerabile a Server-Side Request Forgery (SSRF). Questa vulnerabilità sorge perché l'input `_file`, in particolare il suo parametro `url`, consente al server di recuperare contenuti da posizioni remote arbitrarie senza una corretta convalida. Gli attaccanti possono sfruttare questa debolezza fornendo indirizzi IP interni o endpoint dei metadati cloud come valore per `url`, costringendo il server a effettuare richieste verso questi servizi ristretti. I contenuti recuperati vengono quindi salvati come asset, che possono successivamente essere accessi ed esfiltrati, portando potenzialmente all'esposizione di dati e alla compromissione dell'infrastruttura. Questo sfruttamento richiede specifici permessi GraphQL per la gestione degli asset all'interno del volume target. Gli utenti dovrebbero aggiornare alle versioni patchate 5.8.21 e 4.16.17 per mitigare il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.