CVE-2026-72784

Craft CMS versions >= 5.0.0-RC1 before 5.10.6 and >= 4.0.0-RC1 before 4.18.2 contain a server-side request forgery vulnerability in the GraphQL save<Volume>Asset mutation, which fetches an attacker-supplied URL server-side. The anti-SSRF validation is incomplete: validateIp() does not cover CGNAT (100.64.0.0/10) or NAT64 (64:ff9b::/96) ranges, and the only IP check runs after the request has already been issued. An attacker holding a GraphQL token scoped only to asset-creation permissions can disclose internal HTTP content from CGNAT/NAT64 targets, force outbound GET requests to internal hosts (including RFC1918, loopback, and metadata endpoints), and enumerate internal services.

CVSS v3 5.4 MEDIUM

5.4^/10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 2.8 / Impact : 2.5

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact LOW

Integrity Impact LOW

Availability Impact NONE

Scope UNCHANGED

References

Link	Resource
https://github.com/craftcms/cms/security/advisories/GHSA-2mx8-9ww7-p27x
https://www.vulncheck.com/advisories/craft-cms-rc1-before-ssrf-via-graphql-asset-mutation

Configurations

No configuration.

History

24 Oct 2026, 15:10

Type	Values Removed	Values Added
Summary	(es) Las versiones de Craft CMS >= 5.0.0-RC1 anteriores a 5.10.6 y >= 4.0.0-RC1 anteriores a 4.18.2 contienen una vulnerabilidad de falsificación de petición del lado del servidor en la mutación GraphQL save[Volume]Asset, que recupera una URL proporcionada por el atacante del lado del servidor. La validación anti-SSRF es incompleta: validateIp() no cubre los rangos CGNAT (100.64.0.0/10) o NAT64 (64:ff9b::/96), y la única comprobación de IP se ejecuta después de que la petición ya ha sido emitida. Un atacante que posea un token GraphQL con alcance solo para permisos de creación de activos puede divulgar contenido HTTP interno de objetivos CGNAT/NAT64, forzar peticiones GET salientes a hosts internos (incluyendo RFC1918, loopback y puntos finales de metadatos), y enumerar servicios internos.	(es) Las versiones de Craft CMS mayor o igual que 5.0.0-RC1 anteriores a 5.10.6 y mayor o igual que 4.0.0-RC1 anteriores a 4.18.2 contienen una vulnerabilidad de falsificación de petición del lado del servidor en la mutación GraphQL save[Volume]Asset, que recupera una URL proporcionada por el atacante del lado del servidor. La validación anti-SSRF es incompleta: validateIp() no cubre los rangos CGNAT (100.64.0.0/10) o NAT64 (64:ff9b::/96), y la única comprobación de IP se ejecuta después de que la petición ya ha sido emitida. Un atacante que posea un token GraphQL con alcance solo para permisos de creación de activos puede divulgar contenido HTTP interno de objetivos CGNAT/NAT64, forzar peticiones GET salientes a hosts internos (incluyendo RFC1918, loopback y puntos finales de metadatos), y enumerar servicios internos.

23 Oct 2026, 19:10

Type	Values Removed	Values Added
Summary		(es) Las versiones de Craft CMS >= 5.0.0-RC1 anteriores a 5.10.6 y >= 4.0.0-RC1 anteriores a 4.18.2 contienen una vulnerabilidad de falsificación de petición del lado del servidor en la mutación GraphQL save[Volume]Asset, que recupera una URL proporcionada por el atacante del lado del servidor. La validación anti-SSRF es incompleta: validateIp() no cubre los rangos CGNAT (100.64.0.0/10) o NAT64 (64:ff9b::/96), y la única comprobación de IP se ejecuta después de que la petición ya ha sido emitida. Un atacante que posea un token GraphQL con alcance solo para permisos de creación de activos puede divulgar contenido HTTP interno de objetivos CGNAT/NAT64, forzar peticiones GET salientes a hosts internos (incluyendo RFC1918, loopback y puntos finales de metadatos), y enumerar servicios internos.

Information

Published : 2026-08-11 13:19

Updated : 2026-10-24 15:10

NVD link : CVE-2026-72784

Mitre link : CVE-2026-72784

CVE.ORG link : CVE-2026-72784

JSON object : View

Products Affected

No product.

CWE

CWE-918

Server-Side Request Forgery (SSRF)

5.4 /10