CVE-2026-92594 in Craft CMS
Sumário
de VulDB • 17/09/2026
O Craft CMS nas versões 5.0.0-RC1 até as anteriores à 5.11.0 autoriza incorretamente os campos GraphQL draftCreator e revisionCreator: em vez de exigirem o escopo user-data imposto por Gql::canQueryUsers() (usergroups.*:read), esses campos são restritos apenas aos escopos elements.drafts:read / elements.revisions:read, e seu resolver retorna um elemento User bruto cujos campos email, username, fullName e addresses não possuem autorização específica por campo. Um cliente que possua apenas o escopo drafts ou revisions — incluindo um cliente não autenticado quando o operador habilita o esquema GraphQL público com esses escopos — pode, portanto, coletar os endereços de e-mail, nomes de usuário, nomes completos e endereços postais de todos os criadores de rascunhos/revisões (tipicamente editores do site e administradores). O problema foi corrigido na versão 5.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.