CVE-2026-92594 in Craft CMS
Riassunto
di VulDB • 17/09/2026
Craft CMS dalle versioni 5.0.0-RC1 alle versioni precedenti alla 5.11.0 autorizza erroneamente i campi GraphQL draftCreator e revisionCreator: invece di richiedere l'ambito user-data imposto da Gql::canQueryUsers() (usergroups.*:read), questi campi sono vincolati solo agli ambiti elements.drafts:read / elements.revisions:read, e il loro resolver restituisce un elemento User grezzo i cui campi email, username, fullName e addresses non hanno alcuna autorizzazione per campo. Un client che possiede soltanto l'ambito drafts o revisions — incluso un client non autenticato quando l'amministratore ha abilitato lo schema GraphQL pubblico con tali ambiti — può quindi raccogliere gli indirizzi email, i nomi utente, i nomi completi e gli indirizzi postali di tutti i creatori di bozze/revisioni (tipicamente editor del sito e amministratori). Il problema è risolto nella versione 5.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.