CVE-2026-92594 in Craft CMS
要約
〜によって VulDB • 2026年09月17日
Craft CMS 5.0.0-RC1 から 5.11.0 より前のバージョンにおいて、GraphQL の draftCreator フィールドおよび revisionCreator フィールドの認可処理が誤っています。Gql::canQueryUsers()（usergroups.*:read）によって強制されるユーザーデータスコープを要求する代わりに、これらのフィールドは elements.drafts:read / elements.revisions:read スコープのみで制限されており、そのリゾルバは生の User 要素を返します。この要素の email、username、fullName、および addresses フィールドには、フィールドごとの認可がありません。draft または revision のスコープのみを持つクライアント（これらのスコープを使用して公開 GraphQL スキーマが有効になっている場合、認証されていないクライアントを含む）は、すべての draft/revision 作成者（通常はサイトエディターや管理者）のメールアドレス、ユーザー名、氏名、および郵便住所を収集できます。この問題は 5.11.0 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.