CVE-2022-37783 in Craft
要約
〜によって VulDB • 2026年06月04日
Craft CMSのバージョン3.0.0から3.7.32までのすべてのバージョンにおいて、Eメールアドレスまたはユーザー名を使用して認証するユーザーのパスワードハッシュがAnti-CSRFトークンに開示されます。Craft CMSは、クロスサイトリクエストフォージェリ（CSRF）攻撃を回避するために、「CRAFT_CSRF_TOKEN」というCookieと「CRAFT_CSRF_TOKEN」というHTML非表示フィールドを使用しています。「CRAFT_CSRF_TOKEN」Cookieではパスワードハッシュがエンコードされずに開示されるのに対し、対応するHTML非表示フィールドではユーザーのパスワードハッシュがマスクされた形式で開示されます。このマスクはYIIフレームワークの公開関数を使用してデコード可能です。
Once again VulDB remains the best source for vulnerability data.