CVE-2026-44306

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.74.3 i 6.24.2 domyślny („automatyczny”) e-mail z powiadomieniem formularza renderował wartości wprowadzone przez użytkownika bez escapowania, co pozwalało nieuwierzytelnionemu użytkownikowi na wstrzyknięcie HTML do e-maili powiadomień wysyłanych do skonfigurowanych odbiorców. Problem został naprawiony w wersjach 5.74.3 i 6.24.2.

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.74.3 i 6.24.2 publiczne formularze frontendowe nie egzekwowały ograniczeń dotyczących przesyłania plików, które egzekwuje Panel Sterowania, więc nieuwierzytelniony odwiedzający mógł przesyłać typy plików, które administrator zamierzał zablokować za pomocą pola plików lub zasobów formularza, a w przypadku pól zasobów pliki mogły być przechowywane na publicznym dysku dostępnym przez sieć, chociaż globalna lista dozwolonych plików aplikacji nadal blokowała typy wykonywalne, takie jak .php i .html. Problem został naprawiony w wersjach 5.74.3 i 6.24.2.

Statamic przed wersjami 5.74.1 i 6.24.0, gdy włączone jest logowanie OAuth z dostawcą niegwarantującym zweryfikowanych adresów e-mail, umożliwia nieuwierzytelnionemu atakującemu zalogowanie się jako istniejący użytkownik, w tym super administrator, bez znajomości hasła. Dzieje się tak, ponieważ aplikacja dopasowuje tożsamości OAuth do kont wyłącznie na podstawie adresu e-mail. Problem naprawiono w wersjach 5.74.1 i 6.24.0.

W Statamic przed wersjami 5.74.1 i 6.24.0 uwierzytelniony użytkownik panelu sterowania mógł użyć endpointu przeznaczonego do kreatora tworzenia użytkowników, aby sprawdzić, czy dany adres e-mail należy do istniejącego użytkownika, bez posiadania uprawnień do przeglądania użytkowników. Endpoint ujawniał jedynie istnienie użytkownika, a nie inne dane.

Statamic to system zarządzania treścią oparty na Laravel i Git. Przed wersjami 5.74.1 i 6.24.0 manipulowanie danymi wejściowymi użytkownika używanymi w szablonach Antlers mogło prowadzić do utraty treści i zasobów na stronach, których szablony przekazują niezaufane dane do podatnych obszarów. Eksploatacja nie wymagała uwierzytelnienia. Problem naprawiono w wersjach 5.74.1 i 6.24.0.

Statamic to system zarządzania treścią oparty na Laravel i Git. Przed wersjami 5.74.1 i 6.24.0 uwierzytelniony użytkownik panelu sterowania mógł przeglądać treści wpisów, do których nie miał uprawnień, w tym treści wpisów i wartości pól niestandardowych, z dowolnej kolekcji, także wpisów nieopublikowanych, poprzez punkt końcowy nawigacji. Nie można było modyfikować danych. Problem naprawiono w wersjach 5.74.1 i 6.24.0.

Statamic CMS przed wersjami 5.73.24 i 6.20.1 nie neutralizuje znaków formuł arkusza kalkulacyjnego w eksporcie CSV. Wartości przesłane przez formularz, zaczynające się od znaków takich jak =, +, -, lub @, mogą być interpretowane jako żywe formuły po otwarciu pliku w programie arkuszowym. Atak może być przeprowadzony przez niezautoryzowanego użytkownika front-end, a następnie aktywowany przez redaktora otwierającego eksport.

Statamic przed wersjami 5.73.24 i 6.20.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w proxy obrazów Glide. Walidacja adresu URL w `RemoteUrlValidator.php` i `GuzzleAdapter.php` może zostać ominięta przez atak DNS rebinding. Nazwa hosta jest najpierw walidowana jako publicznie dostępna, ale przy pobieraniu obrazu następuje ponowna rozdzielczość DNS, co pozwala atakującemu na przekierowanie na wewnętrzny adres po walidacji i wykonanie żądań do wewnętrznych zasobów, w tym loopback, sieci prywatnej i metadanych chmury.

Statamic przed wersjami 5.73.22 i 6.18.1 zawiera podatność w proxy obrazów Glide. Walidacja URL-i mogła zostać ominięta, umożliwiając nieuwierzytelnionemu atakującemu wysyłanie żądań HTTP do adresów wewnętrznych (loopback, sieć prywatna, metadata cloud).

Statamic (CMS oparty na Laravel i Git) w wersjach przed 5.73.16 i 6.7.2 pozwala uwierzytelnionym użytkownikom panelu sterowania przeglądać rewizje wpisów dla dowolnej kolekcji z włączonymi rewizjami, niezależnie od posiadanych uprawnień do kolekcji. Omija to kontrole autoryzacji egzekwowane przez główne kontrolery wpisów, ujawniając wartości pól wpisów i dane blueprintów. Użytkownicy mogli także tworzyć rewizje wpisów bez uprawnień do edycji, co jedynie zapisuje istniejący stan treści. Naprawiono w wersjach 5.73.16 i 6.7.2.