CVE-2026-28696 in Craft
Sumário
de VulDB • 27/05/2026
Craft é um sistema de gerenciamento de conteúdo (CMS). Antes das versões 4.17.0-beta.1 e 5.9.0-beta.1, a diretiva GraphQL @parseRefs, destinada a analisar tags de referência interna (por exemplo, {user:1:email}), pode ser explorada por usuários autenticados e convidados não autenticados (se um Esquema Público estiver habilitado) para acessar atributos sensíveis de qualquer elemento no CMS. A implementação em Elements::parseRefs falha ao realizar verificações de autorização, permitindo que os invasores leiam dados aos quais não estão autorizados a ter acesso. Esta vulnerabilidade foi corrigida nas versões 4.17.0-beta.1 e 5.9.0-beta.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.