CVE-2026-44011
WysokieStreszczenie
Craft CMS zawiera lukę w obsłudze wejścia, która pozwala uwierzytelnionym użytkownikom na wstrzykiwanie złośliwej konfiguracji i wykonywanie dowolnych poleceń na serwerze. Problem dotyczy wersji od 4.0.0 do przed 4.17.12 oraz 5.9.18.
Ocena ryzyka
Luka ta może prowadzić do poważnych naruszeń bezpieczeństwa, umożliwiając atakującym przejęcie kontroli nad serwerem i wykonanie nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację Craft CMS do wersji 4.17.12 lub 5.9.18, aby usunąć tę podatność.
Inne podatności w Craft CMS
Zobacz wszystkie- CVE-2026-72784Średnie
Craft CMS w wersjach >= 5.0.0-RC1 przed 5.10.6 oraz >= 4.0.0-RC1 przed 4.18.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w mutacji GraphQL save<Volume>Asset, która pobiera adres URL dostarczony przez atakującego po stronie serwera. Walidacja anty-SSRF jest niekompletna: validateIp() nie obejmuje zakresów CGNAT (100.64.0.0/10) ani NAT64 (64:ff9b::/96), a jedyne sprawdzenie IP odbywa się po wysłaniu żądania. Atakujący posiadający token GraphQL z uprawnieniami tylko do tworzenia zasobów może ujawnić wewnętrzną zawartość HTTP z celów CGNAT/NAT64, wymusić wychodzące żądania GET do wewnętrznych hostów (w tym RFC1918, loopback i endpointy metadanych) oraz enumerować wewnętrzne usługi.
- CVE-2026-72781Wysokie
Craft CMS w wersjach od 5.0.0-RC1 przed 5.10.7 i od 4.0.0-RC1 przed 4.18.3 zawiera podatność zdalnego wykonania kodu w mechanizmie piaskownicy Twig, która pozwala uwierzytelnionemu atakującemu z dostępem do panelu administracyjnego na wykonanie dowolnego kodu.
- CVE-2026-72779Średnie
Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera podatność na dowolny odczyt plików. Funkcja Twig create() ogranicza tworzenie instancji klas za pomocą listy blokującej zawierającej 5 wpisów, która nie obejmuje SplFileObject, co pozwala uwierzytelnionemu administratorowi (z allowAdminChanges=true) skonfigurować złośliwy format tytułu lub URI wpisu, który tworzy instancję SplFileObject w kontekście szablonu bez sandboxa. Gdy użytkownik następnie utworzy wpis w dotkniętej sekcji, dowolne pliki na serwerze (takie jak .env zawierający klucz bezpieczeństwa i poświadczenia bazy danych) są odczytywane i renderowane jako tytuły wpisów.
- CVE-2026-31266Wysokie
Craft CMS w wersji 5.9.5 i wcześniejszych zawiera lukę w autoryzacji w punkcie końcowym migracji (/actions/app/migrate).
- CVE-2026-44012Wysokie
Craft CMS przed wersją 5.9.18 ma podatność w AssetsController::actionShowInFolder(), która pozwala na pobranie nazwy pliku i pełnej hierarchii folderów zasobu bez sprawdzania uprawnień użytkownika. Każdy uwierzytelniony użytkownik CP, nawet bez uprawnień do woluminów, może enumerować nazwy plików zasobów i strukturę folderów.
- CVE-2026-44010Wysokie
Craft CMS ma podatność, która pozwala na odczytanie danych adresowych przez użytkowników z niskimi uprawnieniami. Problem dotyczy braku filtrowania zakresu schematu w zapytaniach GraphQL, co umożliwia dostęp do danych osobowych użytkowników z innych grup.
- CVE-2025-68455Wysokie
Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) po uwierzytelnieniu, poprzez złośliwie załączony Behavior. Atak wymaga dostępu administratora do panelu sterowania Craft.
- CVE-2025-68454Wysokie
Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 jest podatny na zdalne wykonanie kodu (RCE) poprzez atak SSTI w silniku szablonów Twig. Luka wymaga uwierzytelnienia i dostępu administratora do panelu sterowania (przy włączonej opcji allowAdminChanges) lub konta niebędącego administratorem z dostępem do narzędzia System Messages. Atakujący może wykorzystać filtr `map` w polach tekstowych akceptujących kod Twig, co prowadzi do wykonania złośliwego kodu.
- CVE-2025-68456Krytyczne
Craft to platforma do tworzenia cyfrowych doświadczeń. W wersjach 5.0.0-RC1 do 5.8.20 oraz 3.0.0 do 4.16.16 nieuwierzytelnieni użytkownicy mogą wywołać operacje tworzenia kopii zapasowych bazy danych poprzez określone akcje administracyjne, co może prowadzić do wyczerpania zasobów lub ujawnienia informacji. Użytkownicy powinni zaktualizować do wersji z poprawką (5.8.21 i 4.16.17). Użytkownicy Craft 3 powinni zaktualizować do najnowszych wersji Craft 4 i 5, które zawierają poprawki.
- CVE-2026-79988Wysokie
Mechanizm sandboxa Twig w Craft CMS jest skonfigurowany tak, aby umożliwiał dostęp do niebezpiecznych funkcji z frameworka Yii, co prowadzi do uwierzytelnionego zdalnego wykonania kodu (RCE), podobnie jak w przypadku wcześniej ujawnionych podatności.
Oryginalny opis (angielski, źródło NVD)
Craft CMS is a content management system (CMS). From 4.0.0 to before 4.17.12 and 5.9.18, Craft CMS which contains an input-handling flaw in a Yii object creation path that let any authenticated user inject malicious configuration and execute arbitrary commands on the server. The request-controlled condition field layouts data is converted into a live FieldLayout object without a Component::cleanseConfig() boundary. Because Craft configures models before parent::__construct(), attacker-controlled special config keys can take effect during object creation, and FieldLayout initialization then triggers a same-request event. This vulnerability is fixed in 4.17.12 and 5.9.18.