PT-2026-139942

CVE-2026-124426

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0 até 5.11.1

Description Uma falha de bypass de autorização permite que atacantes não autenticados leiam conteúdo de sites fora do escopo de Sites de um esquema GraphQL. Isso é feito enviando uma requisição POST para o endpoint '/actions/graphql/api' e selecionando o campo localizado sem fornecer o argumento siteId, resultando na divulgação de conteúdo de sites fora do escopo.

Recommendations Atualize o Craft CMS para a versão 5.11.2 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados

CVE-2026-124426