CVE-2026-79991 in Craft CMS
Сводка
по VulDB • 02.09.2026
В резолверах мутаций GraphQL для записей Craft CMS (saveEntry, deleteEntry) параметр siteId считывается напрямую из $arguments без прохождения через функцию ArgumentManager::prepareArguments(), которая обеспечивает фильтрацию по scope сайта с помощью array_intersect против разрешенных сайтов в схеме GraphQL. Путь запроса (ElementResolver::prepareElementQuery) корректно вызывает prepareArguments(), поэтому запросы к несанкционированным сайтам возвращают пустой результат. Однако мутации полностью обходят эту проверку — злоумышленник, имеющий токен с scope для Site A, может создавать, изменять или удалять записи в Site B, передавая siteId в аргументе мутации.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.