CVE-2026-44010
Açıklama
Craft CMS bir içerik yönetim sistemidir (CMS). 4.0.0 ile 4.17.12 ve 5.9.18 sürümleri öncesinde, GraphQL Address element resolver (src/gql/resolvers/elements/Address.php), üst düzey sorgular üzerinde herhangi bir şema kapsamı filtrelemesi yapmamaktadır. Tek bir düşük yetkili kullanıcı grubuyla sınırlandırılmış bir GraphQL API belirteci, belirtecin erişim yetkisinin olmadığı gruplardaki kullanıcılara ait adresler de dahil olmak üzere sistemdeki tüm adresleri okuyabilir. Bu durum; tam isimler, adresler, kuruluşlar, vergi kimlik numaraları vb. dahil olmak üzere kişisel olarak tanımlanabilir bilgilerin (PII) ifşa olmasına neden olur. Bu güvenlik açığı 4.17.12 ve 5.9.18 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- craftcms/cms5.9.18, 4.17.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/cmsPackagist | 5.0.0 ≤ v < 5.9.18, 4.0.0 ≤ v < 4.17.12 | 5.9.18, 4.17.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.