CVE-2025-68437

Nome do Software Vulnerável e Versões Afetadas Craft versões 5.0.0-RC1 até 5.8.20 Craft versões 4.0.0-RC1 até 4.16.16

Descrição O Craft é uma plataforma para criação de experiências digitais. A mutação GraphQL save <VolumeName> Asset é suscetível a Falsificação de Requisição do Lado do Servidor (SSRF). O problema decorre da validação insuficiente do parâmetro url dentro da entrada file, permitindo que o servidor recupere conteúdo de locais remotos arbitrários. Os atacantes podem explorar isso fornecendo endereços IP internos ou endpoints de metadados de nuvem como url, fazendo com que o servidor realize solicitações a serviços restritos. O conteúdo recuperado é então salvo como um ativo, podendo levar à exposição de dados e comprometimento da infraestrutura. A exploração requer permissões específicas do GraphQL para gerenciamento de ativos no volume alvo. O parâmetro vulnerável é url.

Recomendações Atualize para a versão 5.8.21 do Craft. Atualize para a versão 4.16.17 do Craft.