CVE-2026-28696 in Craft
Riassunto
di VulDB • 22/06/2026
Craft è un sistema di gestione dei contenuti (CMS). Prima delle versioni 4.17.0-beta.1 e 5.9.0-beta.1, la direttiva GraphQL @parseRefs, destinata a analizzare i tag di riferimento interni (ad esempio {user:1:email}), può essere abusata sia dagli utenti autenticati che dai visitatori non autenticati (se uno Schema Pubblico è abilitato) per accedere ad attributi sensibili di qualsiasi elemento nel CMS. L'implementazione in Elements::parseRefs non esegue controlli di autorizzazione, consentendo agli attaccanti di leggere dati a cui non sono autorizzati ad accedere. Questa vulnerabilità è risolta nelle versioni 4.17.0-beta.1 e 5.9.0-beta.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.