CVE-2026-72782
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 interpoluje zmienne środowiskowe i sekrety (poprzez ciągi ${ENV_VAR} w parametrze elementId) do szablonów Twig przed renderowaniem, nawet gdy sandbox Twig jest włączony. Uwierzytelniony atakujący z dostępem do panelu sterowania może wyrenderować złośliwy szablon Twig w sandboxie i, stosując technikę ślepą opartą na błędach, stopniowo wyciekać dowolne zmienne środowiskowe i sekrety. Mogą one zostać wykorzystane do fałszowania sesji (poprzez CRAFT_SECURITY_KEY), eskalacji uprawnień oraz kradzieży poświadczeń bazy danych, SMTP, API lub magazynu blob. Poprawiono w wersjach 5.10.6 i 4.18.2.
Ocena ryzyka
Atakujący może uzyskać wrażliwe dane, takie jak klucze bezpieczeństwa i poświadczenia, co może prowadzić do przejęcia kont, eskalacji uprawnień i kradzieży danych. Jest to poważne ryzyko dla poufności i integralności systemu.
Rekomendacja
Natychmiast zaktualizuj Craft CMS do wersji 5.10.6 lub 4.18.2, aby zapobiec wyciekowi zmiennych środowiskowych i sekretów.
Oryginalny opis (angielski, źródło NVD)
Craft CMS versions >= 5.0.0-RC1 before 5.10.6 and >= 4.0.0-RC1 before 4.18.2 interpolate environment variables and secrets (via ${ENV_VAR} strings in the elementId parameter) into Twig templates before rendering, even when the Twig sandbox is enabled. An authenticated attacker with control panel access can render a malicious sandboxed Twig template and, using a blind error-based technique across many requests, incrementally leak arbitrary environment variables and secrets. These can be abused to forge sessions (via CRAFT_SECURITY_KEY), escalate privileges, and steal database, SMTP, API, or blob storage credentials. Fixed in 5.10.6 and 4.18.2.