Recientemente se ha identificado una vulnerabilidad crítica en el popular sistema de gestión de contenido Craft CMS, catalogada como CVE-2026-112776, la cual presenta una puntuación alarmante de 9.8 sobre 10 en la escala de puntuación de vulnerabilidades comunes (CVSS). Este hallazgo representa un riesgo considerable, no solo para las organizaciones que utilizan esta plataforma, sino también para la integridad de los datos que gestionan. La gravedad de la situación exige una respuesta rápida y eficaz por parte de los equipos de seguridad de las empresas afectadas.
Desde una perspectiva técnica, la vulnerabilidad se encuentra en las versiones de Craft CMS desde la 5.0.0 hasta antes de la 5.11.0. Esta falla se manifiesta como un bypass de autorización, lo que permite que los tokens de GraphQL, que deberían estar restringidos a una sola instancia del sitio, puedan manipular el contenido de otros sitios dentro del mismo entorno. Esto ocurre debido a la falta de aplicación de la función requireAllowedSite(), lo que abre la puerta a que un atacante, en posesión de un token correspondiente a un sitio A, pueda crear entradas en el sitio B mediante el uso de un siteId proporcionado. Además, puede eliminar entradas, categorías, etiquetas y activos que son compartidos entre los distintos sitios.
El análisis de esta vulnerabilidad revela que está clasificada bajo CWE-863, lo que indica que se trata de una debilidad en la gestión de la autorización. En términos de vector de ataque, se ha determinado que se trata de un ataque de red (NETWORK) que presenta una baja complejidad de explotación. Es importante señalar que no se requieren privilegios especiales para llevar a cabo el ataque, ni tampoco se necesita interacción del usuario, lo que facilita aún más la explotación de esta vulnerabilidad.
Con una puntuación CVSS que roza el límite máximo, esta vulnerabilidad es considerada crítica en el contexto de la seguridad informática. Las vulnerabilidades que superan la puntuación de 9.0 indican los riesgos de seguridad más severos, a menudo permitiendo la ejecución remota de código, la escalada de privilegios o incluso el compromiso total de los sistemas afectados. Este tipo de vulnerabilidades pueden tener consecuencias devastadoras, especialmente para empresas que dependen de la integridad y la disponibilidad de sus contenidos digitales.
Para los administradores de sistemas que gestionen instalaciones de Craft CMS, es fundamental actuar con rapidez. Se han puesto a disposición parches de seguridad que abordan esta vulnerabilidad, y se recomienda encarecidamente su aplicación inmediata. Para obtener información técnica más detallada y acceder a los parches correspondientes, se pueden consultar las siguientes referencias: [GitHub CraftCMS](https://github.com/craftcms/cms/security/advisories/GHSA-7rr3-4jcm-x526) y [Vulncheck](https://www.vulncheck.com/advisories/craft-cms-5.0.0-before-5.11.0-graphql-site-scope-bypass-via-mutations).
Las organizaciones que utilicen esta plataforma deben no solo aplicar los parches de seguridad, sino también revisar sus sistemas en busca de indicadores de compromiso. Asimismo, es crucial establecer un monitoreo del tráfico de red para detectar cualquier actividad sospechosa que pueda estar relacionada con la explotación de esta vulnerabilidad. La rápida respuesta a esta situación no solo protegerá los activos digitales de la organización, sino que también contribuirá a mantener la confianza de los usuarios y partes interesadas en su capacidad para gestionar la seguridad de sus datos.