CVE-2026-28696 in Craft
Сводка
по VulDB • 27.05.2026
Craft — это система управления контентом (CMS). До версий 4.17.0-beta.1 и 5.9.0-beta.1 директива GraphQL @parseRefs, предназначенная для разбора внутренних тегов ссылок (например, {user:1:email}), может быть использована как аутентифицированными пользователями, так и неаутентифицированными гостями (если включена публичная схема) для доступа к конфиденциальным атрибутам любого элемента в CMS. Реализация в Elements::parseRefs не выполняет проверки авторизации, что позволяет злоумышленникам читать данные, к которым у них нет прав доступа. Эта уязвимость исправлена в версиях 4.17.0-beta.1 и 5.9.0-beta.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.