CVE-2026-112770

Craft CMS 4.x przed 4.18.8 i 5.x przed 5.11.0 zawiera obejście listy blokad w funkcji Twig create(), ponieważ sprawdzanie nazw klas jest wrażliwe na wielkość liter, a rozwiązywanie klas w PHP nie. Atakujący z prawem do wykonywania szablonów, np. administratorzy panelu sterowania, mogą utworzyć SplFileObject przez nazwę klasy zapisaną małymi literami, aby odczytać sekrety z .env lub zapisać plik PHP w katalogu webroot i uzyskać zdalne wykonanie kodu.

Craft CMS od wersji 5.0.0 przed 5.11.0 zawiera lukę obejścia uwierzytelniania pozwalającą atakującym ponownie użyć kodów weryfikacyjnych, ponieważ users/verify-email nie unieważnia ich dla aktywnych użytkowników. Atakujący, który uzyska wysłany e-mailem kod ofiary, może przesłać go do users/set-password po weryfikacji zmiany adresu e-mail przez ofiarę, resetując hasło i przejmując konto.

Craft CMS w wersjach od 5.8.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony administrator może wstrzyknąć zachowania Yii, dostarczając układ pól w formacie JSON do ContentBlock::setFieldLayout(), a klucze 'as X' lub 'on X' omijają cleanseConfig().

Craft CMS w wersjach od 5.0.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony użytkownik Panelu Sterowania może wyjść z piaskownicy Twig, przekazując nieoczyszczone kryteria do getNext, getPrev lub getOwners i wstrzykując klucze konfiguracyjne Yii 'as' lub 'on'.

Craft CMS w wersjach od 5.0.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony użytkownik Panelu Sterowania może wyjść z piaskownicy Twig poprzez transformacje Asset::getMimeType, dostarczając klucze 'as' lub 'on' przekazywane bez filtrowania do Craft::createObject.

W Craft CMS od wersji 4.0.0 przed 4.18.8 i od 5.0.0 przed 5.11.0 występuje obejście listy dozwolonych sandboxa Twig, ponieważ filtry column, contains, filterByValue, index, where i multisort rozwiązują klucze dostarczone przez wywołującego za pomocą ArrayHelper::getValue() bez konsultacji z polityką bezpieczeństwa sandboxa. Uwierzytelnieni użytkownicy Panelu Sterowania mogą dostarczyć klucze ścieżek kropkowych, aby przejść przez globalny obiekt craft i ujawnić securityKey, dane uwierzytelniające bazy danych i tokeny uwierzytelniania.

Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.

Craft CMS przed wersją 5.10.11 nie weryfikuje statusu administratora w punkcie końcowym actionGetPasswordResetUrl, co pozwala użytkownikom niebędącym administratorami z uprawnieniem administrateUsers na generowanie linków resetowania hasła dla kont administratorów. Atakujący może ustawić nowe hasło dla administratora i przejąć panel kontrolny.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 zawiera brak autoryzacji w AssetsController::actionReplaceFile. Gdy żądanie podaje sourceAssetId i targetFilename bez assetId, uprawnienie replacePeerFiles nie jest egzekwowane, co pozwala autoryzowanemu autorowi z uprawnieniem replaceFiles na nadpisanie plików innych użytkowników w tym samym folderze.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie wykonuje niezależnej kontroli autoryzacji w ElementsController::actionDeleteForSite. Metoda sprawdza uprawnienia tylko dla własnego szkicu użytkownika, a następnie usuwa kanoniczny element bez ponownej weryfikacji, co pozwala uwierzytelnionemu użytkownikowi bez uprawnienia deleteEntriesForSite na trwałe usunięcie wpisów.