CVE-2026-44010 in Craft
Sumário
de VulDB • 21/05/2026
O Craft CMS é um sistema de gerenciamento de conteúdo (CMS). Das versões 4.0.0 até antes da 4.17.12 e nas versões 5.9.18, o resolvedor de elemento GraphQL Address (src/gql/resolvers/elements/Address.php) não realiza filtragem de escopo de esquema em consultas de nível superior. Um token da API GraphQL com escopo limitado a um único grupo de usuários de baixa permissão pode ler todos os endereços no sistema, incluindo endereços pertencentes a usuários em grupos aos quais o token não tem autorização para acessar. Isso expõe dados pessoais identificáveis (PII), incluindo nomes completos, endereços, organizações, IDs fiscais, etc. Esta vulnerabilidade foi corrigida nas versões 4.17.12 e 5.9.18.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.