CVE-2026-55791
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 — wyżej niż 25% wszystkich znanych CVE
Streszczenie
Craft CMS w wersjach od 4.0.0-RC1 do 4.18.0 oraz od 5.0.0-RC1 do 5.10.0 jest podatny na SSRF i wstrzykiwanie dowolnego kodu JavaScript przez endpoint /actions/app/resource-js. Atakujący może manipulować nagłówkami Host lub X-Forwarded-Host, aby ominąć walidację URL i zmusić klienta Guzzle do pobrania złośliwego ładunku z zewnętrznego serwera.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania dowolnego kodu JavaScript w przeglądarce ofiary (XSS) oraz wykorzystanie serwera do skanowania wewnętrznej sieci lub wysyłania żądań do wewnętrznych zasobów (SSRF).
Rekomendacja
Należy niezwłocznie zaktualizować Craft CMS do wersji 4.18.0 lub 5.10.0. Dodatkowo zaleca się skonfigurowanie trustedHosts w sposób ograniczający zaufane hosty oraz włączenie assetManager.cacheSourcePaths.
Oryginalny opis (angielski, źródło NVD)
Craft CMS is a content management system (CMS). Versions 4.0.0-RC1 and above, prior to 4.18.0 and 5.0.0-RC1, and above, prior to 5.10.0, are vulnerable to Server-Side Request Forgery (SSRF) and Arbitrary JavaScript Injection through the /actions/app/resource-js endpoint. By exploiting the default permissive trustedHosts configuration, an attacker can poison the Host or X-Forwarded-Host header to manipulate the application’s $baseUrl. This bypasses the endpoint’s internal URL validation, forcing the backend Guzzle client to fetch a malicious payload from an attacker-controlled server and reflect it to the client with a Content-Type: application/javascript header. The vulnerability manifests when assetManager.cacheSourcePaths is set to false. This issue has been fixed in versions 4.18.0 and 5.10.0.