CVE-2026-64663

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.74.3 i 6.24.2 domyślny („automatyczny”) e-mail z powiadomieniem formularza renderował wartości wprowadzone przez użytkownika bez escapowania, co pozwalało nieuwierzytelnionemu użytkownikowi na wstrzyknięcie HTML do e-maili powiadomień wysyłanych do skonfigurowanych odbiorców. Problem został naprawiony w wersjach 5.74.3 i 6.24.2.

Statamic to system zarządzania treścią (CMS) oparty na Laravel i Git. Przed wersjami 5.74.3 i 6.24.2 publiczne formularze frontendowe nie egzekwowały ograniczeń dotyczących przesyłania plików, które egzekwuje Panel Sterowania, więc nieuwierzytelniony odwiedzający mógł przesyłać typy plików, które administrator zamierzał zablokować za pomocą pola plików lub zasobów formularza, a w przypadku pól zasobów pliki mogły być przechowywane na publicznym dysku dostępnym przez sieć, chociaż globalna lista dozwolonych plików aplikacji nadal blokowała typy wykonywalne, takie jak .php i .html. Problem został naprawiony w wersjach 5.74.3 i 6.24.2.

Statamic przed wersjami 5.74.1 i 6.24.0, gdy włączone jest logowanie OAuth z dostawcą niegwarantującym zweryfikowanych adresów e-mail, umożliwia nieuwierzytelnionemu atakującemu zalogowanie się jako istniejący użytkownik, w tym super administrator, bez znajomości hasła. Dzieje się tak, ponieważ aplikacja dopasowuje tożsamości OAuth do kont wyłącznie na podstawie adresu e-mail. Problem naprawiono w wersjach 5.74.1 i 6.24.0.

W Statamic przed wersjami 5.74.1 i 6.24.0 uwierzytelniony użytkownik panelu sterowania mógł użyć endpointu przeznaczonego do kreatora tworzenia użytkowników, aby sprawdzić, czy dany adres e-mail należy do istniejącego użytkownika, bez posiadania uprawnień do przeglądania użytkowników. Endpoint ujawniał jedynie istnienie użytkownika, a nie inne dane.

Statamic to system zarządzania treścią oparty na Laravel i Git. Przed wersjami 5.74.1 i 6.24.0 uwierzytelniony użytkownik panelu sterowania mógł przeglądać treści wpisów, do których nie miał uprawnień, w tym treści wpisów i wartości pól niestandardowych, z dowolnej kolekcji, także wpisów nieopublikowanych, poprzez punkt końcowy nawigacji. Nie można było modyfikować danych. Problem naprawiono w wersjach 5.74.1 i 6.24.0.

Statamic CMS przed wersjami 5.73.24 i 6.20.1 nie neutralizuje znaków formuł arkusza kalkulacyjnego w eksporcie CSV. Wartości przesłane przez formularz, zaczynające się od znaków takich jak =, +, -, lub @, mogą być interpretowane jako żywe formuły po otwarciu pliku w programie arkuszowym. Atak może być przeprowadzony przez niezautoryzowanego użytkownika front-end, a następnie aktywowany przez redaktora otwierającego eksport.

Statamic przed wersjami 5.73.24 i 6.20.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w proxy obrazów Glide. Walidacja adresu URL w `RemoteUrlValidator.php` i `GuzzleAdapter.php` może zostać ominięta przez atak DNS rebinding. Nazwa hosta jest najpierw walidowana jako publicznie dostępna, ale przy pobieraniu obrazu następuje ponowna rozdzielczość DNS, co pozwala atakującemu na przekierowanie na wewnętrzny adres po walidacji i wykonanie żądań do wewnętrznych zasobów, w tym loopback, sieci prywatnej i metadanych chmury.

Statamic przed wersjami 5.73.22 i 6.18.1 zawiera podatność w proxy obrazów Glide. Walidacja URL-i mogła zostać ominięta, umożliwiając nieuwierzytelnionemu atakującemu wysyłanie żądań HTTP do adresów wewnętrznych (loopback, sieć prywatna, metadata cloud).