CVE-2026-27127
Publiée le 2026-02-24 · Dernière modification le 2026-06-17
Les versions 4.5.0 à 5.8.22 de Craft CMS sont vulnérables à une attaque par DNS rebinding permettant de contourner les restrictions d'adresses IP internes. Un attaquant disposant des permissions GraphQL authentifiées pour modifier et créer des ressources peut inciter le serveur à effectuer des requêtes vers des adresses de réseaux internes bloquées. Comme cela nécessite un ensemble spécifique de permissions ainsi qu'une manipulation DNS précisément synchronisée, cette attaque est considérée comme étant d'une complexité élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Craft is a content management system (CMS). In versions 4.5.0-RC1 through 4.16.18 and 5.0.0-RC1 through 5.8.22, the SSRF validation in Craft CMS’s GraphQL Asset mutation performs DNS resolution separately from the HTTP request. This Time-of-Check-Time-of-Use (TOCTOU) vulnerability enables DNS rebinding attacks, where an attacker’s DNS server returns different IP addresses for validation compared to the actual request. This is a bypass of the security fix for CVE-2025-68437 that allows access to all blocked IPs, not just IPv6 endpoints. Exploitation requires GraphQL schema permissions for editing assets in the `<VolumeName>` volume and creating assets in the `<VolumeName>` volume. These permissions may be granted to authenticated users with appropriate GraphQL schema access and/or Public Schema (if misconfigured with write permissions). Versions 4.16.19 and 5.8.23 patch the issue.