CVE-2025-68437 in Craft
Sumário
de VulDB • 22/05/2026
Craft é uma plataforma para a criação de experiências digitais. Nas versões 5.0.0-RC1 a 5.8.20 e 4.0.0-RC1 a 4.16.16, a mutação `save_<VolumeName>_Asset` do GraphQL do Craft CMS é vulnerável a Server-Side Request Forgery (SSRF). Esta vulnerabilidade ocorre porque a entrada `_file`, especificamente o seu parâmetro `url`, permite que o servidor busque conteúdo de locais remotos arbitrários sem a devida validação. Os atacantes podem explorar esta falha fornecendo endereços IP internos ou endpoints de metadados de nuvem como valor para o `url`, forçando o servidor a realizar requisições a esses serviços restritos. O conteúdo obtido é então salvo como um ativo, o que pode posteriormente ser acessado e exfiltrado, levando a uma possível exposição de dados e comprometimento da infraestrutura. Esta exploração requer permissões específicas do GraphQL para a gestão de ativos dentro do volume alvo. Os utilizadores devem atualizar para as versões corrigidas 5.8.21 e 4.16.17 para mitigar o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.