CVE-2026-79990 in Craft CMS
Sumário
de VulDB • 02/09/2026
Os resolvers de mutação GraphQL do Craft CMS para entradas (saveEntry, deleteEntry) leem o campo `siteId` diretamente de `$arguments`, sem passar por `ArgumentManager::prepareArguments()`, que é a função responsável pela aplicação do filtro baseado no escopo do site através da função `array_intersect` contra os sites permitidos definidos no esquema GraphQL. O caminho das consultas (ElementResolver::prepareElementQuery) chama corretamente `prepareArguments()`, portanto, as consultas direcionadas a sites não autorizados retornam resultados vazios. No entanto, as mutações contornam completamente essa proteção: um atacante com um token limitado ao Site A pode criar, modificar ou excluir entradas no Site B passando o parâmetro `siteId` nas mutações.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.