CVE-2026-124427: bypass autorizzazione in Craft CMS GraphQL

CVE-2026-124427 è un bypass di autorizzazione nel GraphQL di Craft CMS. La vulnerabilità colpisce le versioni precedenti alla 5.11.2, a partire dalla 5.0.0, e consente a utenti anonimi—senza alcuna autenticazione—di accedere ai contenuti di sezioni che dovrebbero rimanere riservate. L'attacco sfrutta i campi prev/next della query GraphQL per enumerare le entry e leggere titoli, slug e contenuti di campi custom da sezioni inaccessibili.

Il CVSS 9,8 classifica questa vulnerabilità come critical. L'impatto è massimo perché non richiede autenticazione, l'accesso è remoto e la superficie di attacco è universale: chiunque conosca l'endpoint GraphQL può tentare l'exploit. La vulnerabilità è stata pubblicata il 2026-11-08 ed è già segnalata in social media, con post su X che confermano il dettaglio tecnico dell'exploit e la versione corretta. Lo sfruttamento attivo in natura non è ancora confermato.

I responsabili della sicurezza devono identificare immediatamente tutte le istanze di Craft CMS nella loro infrastruttura e verificare la versione in uso. Se la versione è inferiore a 5.11.2, l'aggiornamento deve essere eseguito con massima priorità. È opportuno verificare i log degli accessi GraphQL per identificare eventuali richieste anomale volte a leggere sezioni riservate. Fino all'aggiornamento, si consiglia di limitare l'accesso all'endpoint GraphQL a livello di rete o WAF.