craftcms cms
Craft CMS: lettura di voci di sezioni non autorizzate tramite GraphQL
Il problema, secondo i dati ufficiali
- Una falla di bypass dell'autorizzazione in Craft CMS permette a client GraphQL anonimi di leggere voci (entries) di sezioni fuori dal proprio ambito, usando i campi prev/next.
- Partendo da una voce visibile e consentita, un attaccante può concatenare i passaggi next per enumerare altre voci e leggerne titoli, slug e contenuto dei campi personalizzati da sezioni che dovrebbero restare nascoste.
- Secondo il punteggio ufficiale, si sfrutta via rete, anche da internet se il servizio è esposto, senza bisogno di un account.
Cosa fare
- Aggiorna cms alla versione 5.11.2 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- cms: dalla 5.0.0 alla 5.11.2 esclusa
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
Craft CMS from 5.0.0 before 5.11.2 contains an authorization bypass vulnerability that allows anonymous GraphQL clients to read out-of-scope section entries via prev/next fields. Attackers can chain next hops from one visible in-scope entry to enumerate entries and read titles, slugs, and custom-field content from withheld sections.
Non sai se ti riguarda?
Se usi craftcms cms e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.