CVE-2026-28783
KrytyczneStreszczenie
Craft to system zarządzania treścią (CMS), który przed wersjami 5.9.0-beta.1 i 4.17.0-beta.1 implementował listę blokującą, aby zapobiec wywoływaniu potencjalnie niebezpiecznych funkcji PHP przez funkcje strzałkowe Twig. Wiele funkcji PHP nie zostało uwzględnionych na liście blokującej, co może umożliwić atakującym wykonanie różnych typów ładunków, w tym RCE, odczytów plików, SSRF i SSTI.
Ocena ryzyka
Organizacje mogą być narażone na poważne zagrożenia, jeśli atakujący uzyskają dostęp do konta administratora lub jeśli włączono allowAdminChanges na produkcji. Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu i innych nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację Craft CMS do wersji 5.9.0-beta.1 lub 4.17.0-beta.1, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do kont administratorów oraz wyłączyć allowAdminChanges w środowisku produkcyjnym.
Oryginalny opis (angielski, źródło NVD)
Craft is a content management system (CMS). Prior to 5.9.0-beta.1 and 4.17.0-beta.1, Craft CMS implements a blocklist to prevent potentially dangerous PHP functions from being called via Twig non-Closure arrow functions. In order to be able to successfully execute this attack, you need to either have allowAdminChanges enabled on production, or a compromised admin account, or an account with access to the System Messages utility. Several PHP functions are not included in the blocklist, which could allow malicious actors with the required permissions to execute various types of payloads, including RCEs, arbitrary file reads, SSRFs, and SSTIs. This vulnerability is fixed in 5.9.0-beta.1 and 4.17.0-beta.1.