Craftはデジタル体験を作成するためのプラットフォームです。バージョン5.0.0-RC1から5.8.20および4.0.0-RC1から4.16.16において、Craft CMSのGraphQLの`save_<VolumeName>_Asset`ミューテーションにサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。この脆弱性は、_file入力内のurlパラメータが適切に検証されず、任意のリモート場所からコンテンツを取得できることに起因します。攻撃者はurlに内部IPアドレスやクラウドメタデータエンドポイントを指定することで、サーバーにこれらの制限されたサービスへのリクエストを強制させることが可能です。取得されたコンテンツは資産として保存され、その後アクセスされたり情報漏洩したりする可能性があるため、データの露出やインフラの侵害につながる恐れがあります。この攻撃を成立させるには、対象ボリューム内の資産管理に関する特定のGraphQL権限が必要です。ユーザーは本問題を緩和するためにパッチ適用済みの5.8.21および4.16.17リリースに更新すべきです。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。