CVE-2026-31266

Craft CMS w wersjach >= 5.0.0-RC1 przed 5.10.6 oraz >= 4.0.0-RC1 przed 4.18.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w mutacji GraphQL save<Volume>Asset, która pobiera adres URL dostarczony przez atakującego po stronie serwera. Walidacja anty-SSRF jest niekompletna: validateIp() nie obejmuje zakresów CGNAT (100.64.0.0/10) ani NAT64 (64:ff9b::/96), a jedyne sprawdzenie IP odbywa się po wysłaniu żądania. Atakujący posiadający token GraphQL z uprawnieniami tylko do tworzenia zasobów może ujawnić wewnętrzną zawartość HTTP z celów CGNAT/NAT64, wymusić wychodzące żądania GET do wewnętrznych hostów (w tym RFC1918, loopback i endpointy metadanych) oraz enumerować wewnętrzne usługi.

Craft CMS w wersjach od 5.0.0-RC1 przed 5.10.7 i od 4.0.0-RC1 przed 4.18.3 zawiera podatność zdalnego wykonania kodu w mechanizmie piaskownicy Twig, która pozwala uwierzytelnionemu atakującemu z dostępem do panelu administracyjnego na wykonanie dowolnego kodu.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera podatność na dowolny odczyt plików. Funkcja Twig create() ogranicza tworzenie instancji klas za pomocą listy blokującej zawierającej 5 wpisów, która nie obejmuje SplFileObject, co pozwala uwierzytelnionemu administratorowi (z allowAdminChanges=true) skonfigurować złośliwy format tytułu lub URI wpisu, który tworzy instancję SplFileObject w kontekście szablonu bez sandboxa. Gdy użytkownik następnie utworzy wpis w dotkniętej sekcji, dowolne pliki na serwerze (takie jak .env zawierający klucz bezpieczeństwa i poświadczenia bazy danych) są odczytywane i renderowane jako tytuły wpisów.

Craft CMS przed wersją 5.9.18 ma podatność w AssetsController::actionShowInFolder(), która pozwala na pobranie nazwy pliku i pełnej hierarchii folderów zasobu bez sprawdzania uprawnień użytkownika. Każdy uwierzytelniony użytkownik CP, nawet bez uprawnień do woluminów, może enumerować nazwy plików zasobów i strukturę folderów.

Craft CMS zawiera lukę w obsłudze wejścia, która pozwala uwierzytelnionym użytkownikom na wstrzykiwanie złośliwej konfiguracji i wykonywanie dowolnych poleceń na serwerze. Problem dotyczy wersji od 4.0.0 do przed 4.17.12 oraz 5.9.18.

Craft CMS ma podatność, która pozwala na odczytanie danych adresowych przez użytkowników z niskimi uprawnieniami. Problem dotyczy braku filtrowania zakresu schematu w zapytaniach GraphQL, co umożliwia dostęp do danych osobowych użytkowników z innych grup.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) po uwierzytelnieniu, poprzez złośliwie załączony Behavior. Atak wymaga dostępu administratora do panelu sterowania Craft.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 jest podatny na zdalne wykonanie kodu (RCE) poprzez atak SSTI w silniku szablonów Twig. Luka wymaga uwierzytelnienia i dostępu administratora do panelu sterowania (przy włączonej opcji allowAdminChanges) lub konta niebędącego administratorem z dostępem do narzędzia System Messages. Atakujący może wykorzystać filtr `map` w polach tekstowych akceptujących kod Twig, co prowadzi do wykonania złośliwego kodu.

Craft to platforma do tworzenia cyfrowych doświadczeń. W wersjach 5.0.0-RC1 do 5.8.20 oraz 3.0.0 do 4.16.16 nieuwierzytelnieni użytkownicy mogą wywołać operacje tworzenia kopii zapasowych bazy danych poprzez określone akcje administracyjne, co może prowadzić do wyczerpania zasobów lub ujawnienia informacji. Użytkownicy powinni zaktualizować do wersji z poprawką (5.8.21 i 4.16.17). Użytkownicy Craft 3 powinni zaktualizować do najnowszych wersji Craft 4 i 5, które zawierają poprawki.

Mechanizm sandboxa Twig w Craft CMS jest skonfigurowany tak, aby umożliwiał dostęp do niebezpiecznych funkcji z frameworka Yii, co prowadzi do uwierzytelnionego zdalnego wykonania kodu (RCE), podobnie jak w przypadku wcześniej ujawnionych podatności.