CVE-2026-92594

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0-RC1 até 5.10.x

Descrição Ocorre uma autorização incorreta nos campos draftCreator e revisionCreator do GraphQL. Em vez de exigir o escopo de dados de usuário imposto pela função canQueryUsers() (usergroups.*:read), esses campos são restringidos apenas pelos escopos elements.drafts:read e elements.revisions:read. O resolver retorna um elemento de Usuário bruto onde os campos email, username, fullName e addresses não possuem autorização por campo. Consequentemente, um cliente com apenas escopos de rascunhos ou revisões, incluindo clientes não autenticados caso o esquema público do GraphQL esteja habilitado com esses escopos, pode coletar os endereços de e-mail, nomes de usuário, nomes completos e endereços postais dos criadores de rascunhos e revisões, que geralmente são editores e administradores do site.

Recomendações Atualizar para a versão 5.11.0.