CVE-2026-84796: Craft CMS 5.0.0-RC1 before 5.10.11 GraphQL Entry Mutation Site Scope Bypass

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• craftcms cms

  • 5.10.11не затронута
  • 5.0.0-RC1 и новее · до 5.10.11затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-112776Craft CMS 5.0.0 before 5.11.0 GraphQL Site-Scope Bypass via Mutations
  37Наблюдать
• CVE-2026-72785Craft CMS before 5.10.6 Authorization Bypass via structures/move-element
  37Наблюдать
• CVE-2026-84795Craft CMS before 5.10.11 Authentication Bypass via Admin Flag Inheritance
  36Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-847932 сент. 2026 г. · Craft CMS 5.0.0-RC1 before 5.10.11 Stored XSS via site name
  19Наблюдать
• ← РаньшеCVE-2026-847942 сент. 2026 г. · Craft CMS 5.0.0 through 5.10.10 Authorization Bypass via assets/move-asset
  28Наблюдать
• Позже →CVE-2026-847972 сент. 2026 г. · Craft CMS 5.0.0-RC1 before 5.10.11 Authorization Bypass via actionDuplicate
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.