Podatności Craft CMS

Craft CMS od wersji 5.10.0 przed 5.11.2 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na przeglądanie wolumenów, do których nie mają uprawnień. Atakujący mogą usunąć powiązany zasób i użyć modala przeglądarki wolumenów zastępczych, aby zobaczyć struktury katalogów wszystkich wolumenów, choć nie zawartość plików.

Craft CMS od 5.10.0 przed 5.11.2 zawiera podatność na zdalne wykonanie kodu, która pozwala użytkownikom panelu sterowania bez uprawnień administratora uzyskać szablony Twig podpisane HMAC przez punkt końcowy app/render-elements. Atakujący mogą przesłać podpisany szablon jako parametr przekierowania logowania returnUrl, wywołując niesandboxowaną ewaluację renderObjectTemplate() i wykonując polecenia systemu operacyjnego jako proces roboczy PHP.

Craft CMS od 5.0.0 przed 5.11.2 zawiera podatność na eskalację uprawnień, która pozwala nieuwierzytelnionym publicznym rejestrującym odzyskać dezaktywowane konta niebędące administratorami, zachowując ich bezpośrednie uprawnienia. Atakujący mogą zarejestrować się przy użyciu dezaktywowanego konta, ustawić nowe hasło i odziedziczyć uprawnienia przechowywane w userpermissions_users, umożliwiając przejęcie uprzywilejowanego konta, gdy weryfikacja e-mail jest wyłączona.

Craft CMS od wersji 5.0.0 przed 5.11.2 zawiera podatność polegającą na obejściu autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt treści witryn spoza zakresu Sites schematu GraphQL. Atakujący mogą wysłać żądanie POST do /actions/graphql/api, wybierając pole lokalizowane bez argumentu siteId, aby ujawnić treść witryny spoza zakresu.

Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.

Craft CMS przed wersją 5.10.11 nie weryfikuje statusu administratora w punkcie końcowym actionGetPasswordResetUrl, co pozwala użytkownikom niebędącym administratorami z uprawnieniem administrateUsers na generowanie linków resetowania hasła dla kont administratorów. Atakujący może ustawić nowe hasło dla administratora i przejąć panel kontrolny.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 zawiera brak autoryzacji w AssetsController::actionReplaceFile. Gdy żądanie podaje sourceAssetId i targetFilename bez assetId, uprawnienie replacePeerFiles nie jest egzekwowane, co pozwala autoryzowanemu autorowi z uprawnieniem replaceFiles na nadpisanie plików innych użytkowników w tym samym folderze.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie wykonuje niezależnej kontroli autoryzacji w ElementsController::actionDeleteForSite. Metoda sprawdza uprawnienia tylko dla własnego szkicu użytkownika, a następnie usuwa kanoniczny element bez ponownej weryfikacji, co pozwala uwierzytelnionemu użytkownikowi bez uprawnienia deleteEntriesForSite na trwałe usunięcie wpisów.

Craft CMS przed wersją 5.10.11 zawiera podatność na obejście autoryzacji w ElementsController::actionDuplicate(), która pozwala uwierzytelnionym użytkownikom z uprawnieniem createEntries na usuwanie cudzych wstępnych wersji roboczych. Atakujący mogą wykorzystać parametr deleteProvisionalDraft, aby usunąć niezapisany szkic innego użytkownika bez odpowiednich kontroli autoryzacji, uzyskując dostęp do treści w trakcie tworzenia.

Craft CMS przed wersją 5.10.11 zawiera podatność obejścia zakresu witryny w resolverach mutacji GraphQL, które nie weryfikują siteId przez ArgumentManager::prepareArguments(). Atakujący z tokenami ograniczonymi do jednej witryny mogą czytać, modyfikować lub usuwać wpisy w innych witrynach.

Craft CMS w wersjach od 5.0.0-RC1 do przed 5.10.11 zawiera podatność na trwały cross-site scripting w polu nazwy witryny, które nie oczyszcza danych wejściowych. Administratorzy mogą wstrzykiwać dowolne skrypty JavaScript w nazwie witryny, które wykonują się, gdy inni użytkownicy przeglądają strony ustawień panelu sterowania.

Craft CMS przed wersją 5.10.11 zawiera podatność na złamaną kontrolę dostępu w punkcie końcowym element-indexes/save-elements, która pozwala użytkownikom panelu sterowania przenosić wpisy do sekcji, których nie mogą edytować. Atakujący z ograniczonymi uprawnieniami do sekcji mogą przenosić lub publikować wpisy w nieautoryzowanych sekcjach, nadpisując atrybut sectionId po wstępnych kontrolach autoryzacji, omijając walidację uprawnień sekcji docelowej.

Craft CMS w wersji 5.9.5 i wcześniejszych zawiera lukę w autoryzacji w punkcie końcowym migracji (/actions/app/migrate).

Craft CMS od wersji 5.0.0 przed 5.11.2 zawiera podatność typu authorization bypass, która pozwala anonimowym klientom GraphQL odczytywać wpisy sekcji spoza zakresu poprzez pola prev/next. Atakujący mogą łańcuchowo przechodzić od jednego widocznego wpisu w zakresie, aby wyliczać wpisy i odczytywać tytuły, slugi i zawartość pól niestandardowych z ukrytych sekcji.

Craft CMS w wersjach 4.0.0 do 4.18.9 oraz 5.0.0 do 5.11.2 zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym wyszukiwania elementów, ponieważ parametr attribute jest wstawiany do zapytania bez sanityzacji, a emulowane przygotowania PDO pozwalają na łączenie instrukcji. Zdalni atakujący mogą odczytywać i zapisywać bazę danych, ustawiając flagę administratora lub nadpisując hasła w tabeli użytkowników, aby uzyskać dostęp administracyjny.

Craft CMS od wersji 5.0.0 przed 5.11.0 zawiera podatność obejścia autoryzacji, która pozwala tokenom GraphQL ograniczonym do jednej witryny modyfikować treść innych witryn, ponieważ requireAllowedSite() nie jest egzekwowane. Atakujący posiadający token witryny A może tworzyć wpisy w witrynie B poprzez podanie siteId oraz usuwać wpisy, kategorie, tagi i zasoby współdzielone między witrynami.

Craft CMS przed wersją 5.10.11 nie waliduje flagi administratora podczas rejestracji użytkownika, co pozwala na jej utrzymanie z dezaktywowanych kont administratora. Atakujący mogą zarejestrować się przy użyciu adresu e-mail dezaktywowanego administratora, aby odziedziczyć uprawnienia administratora, gdy włączona jest publiczna rejestracja i wyłączona weryfikacja e-maila.

Craft to platforma do tworzenia cyfrowych doświadczeń. W wersjach 5.0.0-RC1 do 5.8.20 oraz 3.0.0 do 4.16.16 nieuwierzytelnieni użytkownicy mogą wywołać operacje tworzenia kopii zapasowych bazy danych poprzez określone akcje administracyjne, co może prowadzić do wyczerpania zasobów lub ujawnienia informacji. Użytkownicy powinni zaktualizować do wersji z poprawką (5.8.21 i 4.16.17). Użytkownicy Craft 3 powinni zaktualizować do najnowszych wersji Craft 4 i 5, które zawierają poprawki.

Craft CMS od wersji 5.7.0 przed 5.11.2 zawiera podatność polegającą na dowolnym odczycie plików, która pozwala uwierzytelnionym użytkownikom panelu kontrolnego na odczyt plików SVG poprzez przesyłanie dowolnych ścieżek do endpointu app/icon-svg. Atakujący mogą podać aliasy lub ścieżki bezwzględne, które są rozwiązywane bez sprawdzania uprawnień, aby odczytać dowolny plik o zawartości SVG czytelny dla procesu PHP, w tym pliki poza instalacją Craft.

Craft CMS w wersjach 4.0.0–4.18.8 oraz 5.0.0–5.11.1 zawiera podatność na wstrzyknięcie SQL w mechanizmie GraphQL eager-loading. Argumenty węzłów eager-loadable nieobecnych w publicznym schemacie są kopiowane do kryteriów EagerLoadPlan bez oczyszczenia, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć wyrażenia SQL i odczytać dowolne dane z bazy.

Craft CMS od wersji 5.8.17 do 5.11.1 zawiera podatność na eskalację uprawnień, ponieważ metoda getOwners() stosuje kryteria wywołującego bez oczyszczenia konfiguracji zapytania. Uwierzytelniony użytkownik panelu sterowania może wywołać wybrane przez atakującego statyczne funkcje PHP poprzez spreparowane kryteria i podnieść wszystkie konta do uprawnień administratora.

Craft CMS 4.0.0–4.18.8 oraz 5.0.0–5.11.1 zawiera podatność na ślepą iniekcję SQL, ponieważ metody getNext() i getPrev() udostępnione w sandboxie przekazują dowolne tablice kryteriów do Craft::configure() bez usuwania właściwości niosących SQL, takich jak orderBy i where. Uwierzytelniony użytkownik panelu może dostarczyć spreparowaną wartość elementIds renderowaną jako szablon w sandboxie i uzyskać warunkowy oracle SQL na koncie bazy Craft.

Craft CMS pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania przesłać warunek wyszukiwania elementów, którego selektor jest oceniany jako szablon obiektu Twig w piaskownicy; filtr kolumn deleguje wyszukiwanie właściwości do Yii ArrayHelper poza SecurityPolicy Twig, co pozwala obejść piaskownicę i odzyskać GeneralConfig::securityKey, a następnie sfałszować podpisane parametry i wywołać natywne funkcje PHP.

Akcja app/process-api-response-headers przyjmuje fałszywe nagłówki odpowiedzi API Craft od każdego uwierzytelnionego użytkownika panelu; użytkownik z uprawnieniem accessCp może wstawić znaki nowej linii do X-Craft-Plugin-Licenses, co pozwala wstrzyknąć nowy znany atakującemu CRAFT_SECURITY_KEY do .env i sfałszować podpisany redirect z wywołaniem system() w Twig.

Craft CMS 4.x przed 4.18.8 i 5.x przed 5.11.0 zawiera obejście listy blokad w funkcji Twig create(), ponieważ sprawdzanie nazw klas jest wrażliwe na wielkość liter, a rozwiązywanie klas w PHP nie. Atakujący z prawem do wykonywania szablonów, np. administratorzy panelu sterowania, mogą utworzyć SplFileObject przez nazwę klasy zapisaną małymi literami, aby odczytać sekrety z .env lub zapisać plik PHP w katalogu webroot i uzyskać zdalne wykonanie kodu.

Craft CMS od wersji 5.0.0 przed 5.11.0 zawiera lukę obejścia uwierzytelniania pozwalającą atakującym ponownie użyć kodów weryfikacyjnych, ponieważ users/verify-email nie unieważnia ich dla aktywnych użytkowników. Atakujący, który uzyska wysłany e-mailem kod ofiary, może przesłać go do users/set-password po weryfikacji zmiany adresu e-mail przez ofiarę, resetując hasło i przejmując konto.

Craft CMS w wersjach od 5.8.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony administrator może wstrzyknąć zachowania Yii, dostarczając układ pól w formacie JSON do ContentBlock::setFieldLayout(), a klucze 'as X' lub 'on X' omijają cleanseConfig().

Craft CMS w wersjach od 5.0.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony użytkownik Panelu Sterowania może wyjść z piaskownicy Twig, przekazując nieoczyszczone kryteria do getNext, getPrev lub getOwners i wstrzykując klucze konfiguracyjne Yii 'as' lub 'on'.

Craft CMS w wersjach od 5.0.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony użytkownik Panelu Sterowania może wyjść z piaskownicy Twig poprzez transformacje Asset::getMimeType, dostarczając klucze 'as' lub 'on' przekazywane bez filtrowania do Craft::createObject.

W Craft CMS od wersji 4.0.0 przed 4.18.8 i od 5.0.0 przed 5.11.0 występuje obejście listy dozwolonych sandboxa Twig, ponieważ filtry column, contains, filterByValue, index, where i multisort rozwiązują klucze dostarczone przez wywołującego za pomocą ArrayHelper::getValue() bez konsultacji z polityką bezpieczeństwa sandboxa. Uwierzytelnieni użytkownicy Panelu Sterowania mogą dostarczyć klucze ścieżek kropkowych, aby przejść przez globalny obiekt craft i ujawnić securityKey, dane uwierzytelniające bazy danych i tokeny uwierzytelniania.

Craft CMS 4.x przed 4.18.8 oraz 5.x przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu w filtrze grupy Twig. Filtr wywołuje niebędące ciągami argumenty strzałkowe jako wywoływalne bez zabezpieczenia checkArrow, co pozwala uwierzytelnionym użytkownikom przekazać tablicę wywoływalną, np. FileHelper::writeToFile.

Craft CMS w wersjach 4.0.0 do 4.18.7 oraz 5.0.0 do 5.10.14 przekazuje surowy parametr 'updates' w AppController::actionCacheUpdates do UpdatesModel bez użycia Component::cleanseConfig(), co pozwala na wstrzyknięcie zachowań i handlerów zdarzeń. Zautentykowani użytkownicy panelu z uprawnieniami performUpdates lub dostępem do narzędzia Updates mogą podać klucze 'as' lub 'on', takie jak gadżet AttributeTypecastBehavior, aby wykonać dowolny kod.

Craft CMS w wersjach od 5.0.0 do 5.10.14 (przed 5.10.14) zawiera podatność na DOM-based XSS w przepływie logowania i weryfikacji 2FA w panelu administracyjnym, gdzie kontrolowany przez użytkownika returnUrl akceptujący adresy javascript: jest używany w nawigacji po stronie klienta. Atakujący może nakłonić ofiarę z włączonym 2FA do otwarcia spreparowanego adresu /admin/login?verify=1 pomiędzy podaniem hasła a weryfikacją TOTP, wykonując JavaScript w uwierzytelnionym panelu administracyjnym z uprawnieniami ofiary.

Craft CMS od wersji 5.0.0 do 5.10.14 (przed 5.10.14) zawiera brak autoryzacji w metodzie AppController::actionSwitchToLicensedEdition(), co pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę zainstalowanej edycji. Użytkownicy front-end z niskimi uprawnieniami mogą wywołać tę akcję, gdy licencjonowana edycja się nie zgadza, trwale obniżając edycję witryny w konfiguracji projektu, czego administratorzy nie mogą cofnąć z panelu administracyjnego.

Craft CMS w wersjach od 5.10.2 do 5.10.14 zawiera podatność na ominięcie piaskownicy Twig, która pozwala nieadministracyjnym użytkownikom na wywoływanie callable PHP przez operatory "has some" i "has every". Użytkownicy z uprawnieniami System Messages mogą podać dwuargumentowe callable, takie jak passthru lub system, w szablonach w piaskownicy, aby wykonać kod jako użytkownik webowy.

Craft CMS w wersjach od 4.0.0 do 4.18.7 oraz od 5.0.0 do 5.10.14 zawiera podatność na dowolny odczyt plików, ponieważ lista zablokowanych klas w funkcji Twig create() nie obejmuje klasy DOMDocument. Atakujący, którzy mogą ustawić format tytułu typu wpisu (np. przez project-config/apply), mogą użyć create('DOMDocument').loadHTMLFile() z textContent, aby ujawnić zawartość lokalnych plików użytkownikom niebędącym administratorami, którzy mogą przeglądać wpisy.

Craft CMS 5.10.13.2 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w panelu sterowania (akcja app/render-components). Uwierzytelniony użytkownik z podstawowym dostępem do panelu może przesłać kontrolowane klasy komponentów i nadpisać właściwości, co prowadzi do wykonania dowolnego kodu Twig, a następnie poleceń systemowych.

Craft CMS od wersji 5.0.0-RC1 do przed 5.11.0 nieprawidłowo autoryzuje pola GraphQL draftCreator i revisionCreator. Zamiast wymagać zakresu user-data egzekwowanego przez Gql::canQueryUsers(), pola te są ograniczone tylko do zakresów elements.drafts:read / elements.revisions:read, a ich resolver zwraca surowy element User bez autoryzacji poszczególnych pól. Klient z tylko tymi zakresami może uzyskać adresy e-mail, nazwy użytkowników, pełne nazwiska i adresy pocztowe wszystkich twórców wersji roboczych i rewizji. Problem naprawiono w wersji 5.11.0.

Craft CMS w wersjach 5.10.0–5.10.12 zawiera niekompletną poprawkę CVE-2026-55794 — sink Controller::getPostedRedirectUrl() -> View::renderObjectTemplate() pozostał bez sandboxa, a ten sam commit dodał oracle do samodzielnego podpisywania w Cp::elementLabelHtml(). Ponieważ tokeny HMAC Craft/Yii nie są powiązane z nazwą parametru, uwierzytelniony użytkownik panelu o niskich uprawnieniach z prawem edycji jednego typu elementu może wygenerować token dla kontrolowanego przez atakującego szablonu Twig dla parametru returnUrl i odtworzyć go jako parametr POST przekierowania, osiągając niesandboxowany sink i wstrzyknięcie szablonu po stronie serwera, co prowadzi do wykonania dowolnego kodu PHP. Problem naprawiono w wersji 5.10.13.

Craft CMS w wersjach 4.8.0–4.18.5 oraz 5.0.0–5.10.12 podpisuje kontrolowany przez atakującego cookie license-shun uwierzytelnionego użytkownika tym samym kluczem i formatem, których używa do walidacji podpisanych parametrów przekierowania, ponieważ podpis HMAC nie jest powiązany z celem (cookieValidationKey Yii pochodzi z tego samego securityKey Craft używanego dla podpisanych parametrów żądania). Uwierzytelniony użytkownik niebędący administratorem może ustawić cookie przez endpoint license-shun i przenieść podpisaną kopertę do parametru przekierowania; po udanym logowaniu Craft waliduje podpis i renderuje uwierzytelnione bajty jako niesandboxowany szablon Twig, gdzie filtr map akceptuje callback tekstowy i pozwala PHP system() wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW. Eksploatacja wymaga konta z uwierzytelnianiem hasłem bez aktywnego 2FA, domyślnej konfiguracji żądań i dostępności PHP system(). Problem naprawiono w wersjach 4.18.6 i 5.10.13.

Craft CMS w wersjach od 5.0.0 do 5.10.12 traktuje awarię połączenia z bazą danych jako brak instalacji, co udostępnia anonimowe akcje instalatora (m.in. install/validate-site) na zainstalowanej stronie produkcyjnej, gdy PHP działa, ale MySQL jest niedostępny. Uwierzytelniony atakujący z ważną sesją gościa i tokenem CSRF może odczytać wartości zmiennych środowiskowych, w tym klucz bezpieczeństwa, dane dostępowe do bazy czy klucze API. Naprawiono w wersji 5.10.13.

Craft CMS w wersjach od 5.7.0 do 5.10.13 zawiera podatność typu stored XSS w funkcji Generated Fields, która wyłącza automatyczne escapowanie Twig i nie koduje wartości z pamięci podręcznej. Redaktorzy treści mogą wstrzykiwać złośliwy JavaScript przez edytowalne pola, który wykonuje się w sesjach uwierzytelnionych użytkowników Panelu sterowania o wyższych uprawnieniach. Naprawiono w wersji 5.10.13.

Craft CMS 5.0.0 do 5.10.12 zawiera wadę kontroli dostępu w punkcie końcowym zmiany kolejności zagnieżdżonych elementów. Uwierzytelniony użytkownik z uprawnieniami tylko do podglądu może zmienić kolejność bloków Matrix lub pól Address w treści innego autora, do której nie ma uprawnień zapisu.

Zdalny, uwierzytelniony użytkownik panelu administracyjnego Craft CMS bez uprawnień administratora, posiadający jedynie uprawnienie accessCp, może wykonywać polecenia systemu operacyjnego jako proces roboczy PHP.

Craft CMS przed wersją 5.10.12 zawiera podatność na zdalne wykonanie kodu w punkcie końcowym element-index, która pozwala uwierzytelnionym edytorom treści na tworzenie dowolnych klas poprzez parametr criteria. Atakujący mogą wstrzyknąć złośliwą klasę przez criteria[withTransforms][0][class], która dociera do ImageTransforms::normalizeTransform(), a następnie użyć łańcucha gadżetów PHP z yii\rbac\PhpManager do wykonania kodu, wskazując itemFile na log żądania zawierający ładunek PHP w nagłówku User-Agent.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie posiada zabezpieczenia wymaganego dla działań administracyjnych w UsersController::actionActivateUser (akcja users/activate-user). Mimo że akcja wymaga uprawnienia administrateUsers, nie wywołuje requireAdmin(), gdy docelowy użytkownik jest administratorem, w przeciwieństwie do lustrzanej akcji actionDeactivateUser. W rezultacie uwierzytelniony użytkownik panelu sterowania, który nie jest administratorem, ale posiada uprawnienie administrateUsers, może aktywować oczekujące lub celowo dezaktywowane konto administratora, co może prowadzić do eskalacji uprawnień w połączeniu z resetowaniem hasła tego konta. Problem został naprawiony w Craft CMS 5.10.12.

Craft CMS przed wersją 5.10.12 nieprawidłowo oczyszcza elementy układu pól typu string, co pozwala uwierzytelnionym użytkownikom panelu administracyjnego na wstrzykiwanie załączników zachowań Yii2 i procedur obsługi zdarzeń. Atakujący mogą wysyłać elementy zakładek układu pól jako ciągi JSON, aby ominąć walidację oczyszczania, a następnie wywołać dowolną instancję obiektu i wykonanie kodu przez Craft::createObject().