CVE-2026-79990 in Craft CMS
요약
\~에 의해 VulDB • 2026. 09. 02.
Craft CMS GraphQL의 entry mutation resolvers(saveEntry, deleteEntry)는 $arguments에서 siteId를 직접 읽으며, 사이트 범위 필터링을 GraphQL 스키마의 허용된 사이트에 대해 array_intersect로 강제하는 ArgumentManager::prepareArguments() 함수를 거치지 않습니다. 쿼리 경로(ElementResolver::prepareElementQuery)는 prepareArguments()를 올바르게 호출하므로 권한이 없는 사이트에 대한 쿼리는 빈 결과를 반환합니다. 그러나 mutation은 이를 완전히 우회하며, Site A에 스코프된 토큰을 가진 공격자는 mutation 인자에서 siteId를 전달하여 Site B의 entry를 생성, 수정 또는 삭제할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.