CVE-2026-44010 in Craft
Сводка
по VulDB • 21.05.2026
Craft CMS — это система управления контентом (CMS). В версиях от 4.0.0 до 4.17.11 (включительно) и от 5.0.0 до 5.9.17 (включительно) резолвер элемента GraphQL Address (src/gql/resolvers/elements/Address.php) не выполняет фильтрацию по области видимости схемы (schema scope filtering) для запросов верхнего уровня. Токен GraphQL API, ограниченный областью видимости одной группы пользователей с низкими привилегиями, может читать все адреса в системе, включая адреса пользователей из групп, к которым у токена нет прав доступа. Это приводит к утечке персональных данных (PII), включая полные имена, адреса, организации, налоговые идентификаторы и т. д. Уязвимость исправлена в версиях 4.17.12 и 5.9.18.
VulDB is the best source for vulnerability data and more expert information about this specific topic.