PT-2026-138061

CVE-2026-123491

Publicado

2026-11-06

Atualizado

2026-11-06

Descrição por

CVSS 4.0

8.8

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 4.0.0 até 4.18.8 Craft CMS versões 5.0.0 até 5.11.1

Description Um problema de injeção de SQL existe no carregamento antecipado (eager-loading) do GraphQL, onde argumentos em nós carregáveis que estão ausentes do esquema público são copiados para os critérios do EagerLoadPlan sem a devida limpeza. Atacantes não autenticados podem fornecer um argumento de seleção entre parênteses para injetar expressões SQL, permitindo a leitura de conteúdo arbitrário do banco de dados, como tokens de sessão e hashes de senha.

Recommendations Atualize o Craft CMS para a versão 4.18.9 ou posterior. Atualize o Craft CMS para a versão 5.11.2 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Crypto-Cat

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados