CVE-2025-68437 in Craft
要約
〜によって VulDB • 2026年05月22日
Craftはデジタル体験の作成のためのプラットフォームです。バージョン5.0.0-RC1から5.8.20、および4.0.0-RC1から4.16.16において、Craft CMS GraphQLの`save_<VolumeName>_Asset`ミューテーションは、サーバーサイドリクエストフォージェリ（SSRF）に対して脆弱です。この脆弱性は、`_file`入力、特にその`url`パラメータが、適切な検証を行わずにサーバーが任意の遠隔地からコンテンツを取得することを可能にするために発生します。攻撃者は、内部IPアドレスやクラウドメタデータエンドポイントを`url`として提供することでこれを悪用し、サーバーにこれらの制限されたサービスへのリクエストを実行させます。取得されたコンテンツはアセットとして保存され、その後アクセスおよび漏洩される可能性があり、機密データの暴露やインフラストラクチャの侵害につながる可能性があります。この攻撃には、対象となるボリューム内でのアセット管理に関する特定のGraphQL権限が必要です。この問題を軽減するには、パッチ適用済みの5.8.21および4.16.17へのアップデートを行ってください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.