CVE-2026-72779
ŚrednieCVSS 4.5Streszczenie
Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera podatność na dowolny odczyt plików. Funkcja Twig create() ogranicza tworzenie instancji klas za pomocą listy blokującej zawierającej 5 wpisów, która nie obejmuje SplFileObject, co pozwala uwierzytelnionemu administratorowi (z allowAdminChanges=true) skonfigurować złośliwy format tytułu lub URI wpisu, który tworzy instancję SplFileObject w kontekście szablonu bez sandboxa. Gdy użytkownik następnie utworzy wpis w dotkniętej sekcji, dowolne pliki na serwerze (takie jak .env zawierający klucz bezpieczeństwa i poświadczenia bazy danych) są odczytywane i renderowane jako tytuły wpisów.
Ocena ryzyka
Administrator (lub osoba z uprawnieniami administratora) może odczytać wrażliwe pliki, takie jak .env, co może prowadzić do ujawnienia kluczy bezpieczeństwa i poświadczeń bazy danych. Może to umożliwić pełne przejęcie systemu.
Rekomendacja
Zaktualizuj Craft CMS do wersji 5.10.6 lub 4.18.2, aby zamknąć lukę w funkcji create() i uniemożliwić odczyt dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
Craft CMS 5.0.0-RC1 before 5.10.6 and 4.0.0-RC1 before 4.18.2 contain an arbitrary file read vulnerability. The create() Twig function restricts class instantiation using a 5-entry blocklist that does not include SplFileObject, allowing an authenticated administrator (with allowAdminChanges=true) to configure a malicious entry type title or URI format that instantiates SplFileObject in a non-sandboxed template context. When a user subsequently creates an entry in the affected section, arbitrary files on the server (such as .env containing the security key and database credentials) are read and rendered as entry titles.