Podatności Craft CMS

Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.

Craft CMS przed wersją 5.10.11 nie weryfikuje statusu administratora w punkcie końcowym actionGetPasswordResetUrl, co pozwala użytkownikom niebędącym administratorami z uprawnieniem administrateUsers na generowanie linków resetowania hasła dla kont administratorów. Atakujący może ustawić nowe hasło dla administratora i przejąć panel kontrolny.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 zawiera brak autoryzacji w AssetsController::actionReplaceFile. Gdy żądanie podaje sourceAssetId i targetFilename bez assetId, uprawnienie replacePeerFiles nie jest egzekwowane, co pozwala autoryzowanemu autorowi z uprawnieniem replaceFiles na nadpisanie plików innych użytkowników w tym samym folderze.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie wykonuje niezależnej kontroli autoryzacji w ElementsController::actionDeleteForSite. Metoda sprawdza uprawnienia tylko dla własnego szkicu użytkownika, a następnie usuwa kanoniczny element bez ponownej weryfikacji, co pozwala uwierzytelnionemu użytkownikowi bez uprawnienia deleteEntriesForSite na trwałe usunięcie wpisów.

Craft CMS przed wersją 5.10.11 zawiera podatność na obejście autoryzacji w ElementsController::actionDuplicate(), która pozwala uwierzytelnionym użytkownikom z uprawnieniem createEntries na usuwanie cudzych wstępnych wersji roboczych. Atakujący mogą wykorzystać parametr deleteProvisionalDraft, aby usunąć niezapisany szkic innego użytkownika bez odpowiednich kontroli autoryzacji, uzyskując dostęp do treści w trakcie tworzenia.

Craft CMS przed wersją 5.10.11 zawiera podatność obejścia zakresu witryny w resolverach mutacji GraphQL, które nie weryfikują siteId przez ArgumentManager::prepareArguments(). Atakujący z tokenami ograniczonymi do jednej witryny mogą czytać, modyfikować lub usuwać wpisy w innych witrynach.

Craft CMS w wersjach od 5.0.0-RC1 do przed 5.10.11 zawiera podatność na trwały cross-site scripting w polu nazwy witryny, które nie oczyszcza danych wejściowych. Administratorzy mogą wstrzykiwać dowolne skrypty JavaScript w nazwie witryny, które wykonują się, gdy inni użytkownicy przeglądają strony ustawień panelu sterowania.

Craft CMS przed wersją 5.10.11 zawiera podatność na złamaną kontrolę dostępu w punkcie końcowym element-indexes/save-elements, która pozwala użytkownikom panelu sterowania przenosić wpisy do sekcji, których nie mogą edytować. Atakujący z ograniczonymi uprawnieniami do sekcji mogą przenosić lub publikować wpisy w nieautoryzowanych sekcjach, nadpisując atrybut sectionId po wstępnych kontrolach autoryzacji, omijając walidację uprawnień sekcji docelowej.

Craft CMS w wersji 5.9.5 i wcześniejszych zawiera lukę w autoryzacji w punkcie końcowym migracji (/actions/app/migrate).

Craft CMS przed wersją 5.9.18 ma podatność w AssetsController::actionShowInFolder(), która pozwala na pobranie nazwy pliku i pełnej hierarchii folderów zasobu bez sprawdzania uprawnień użytkownika. Każdy uwierzytelniony użytkownik CP, nawet bez uprawnień do woluminów, może enumerować nazwy plików zasobów i strukturę folderów.

Craft CMS zawiera lukę w obsłudze wejścia, która pozwala uwierzytelnionym użytkownikom na wstrzykiwanie złośliwej konfiguracji i wykonywanie dowolnych poleceń na serwerze. Problem dotyczy wersji od 4.0.0 do przed 4.17.12 oraz 5.9.18.

Craft CMS ma podatność, która pozwala na odczytanie danych adresowych przez użytkowników z niskimi uprawnieniami. Problem dotyczy braku filtrowania zakresu schematu w zapytaniach GraphQL, co umożliwia dostęp do danych osobowych użytkowników z innych grup.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) po uwierzytelnieniu, poprzez złośliwie załączony Behavior. Atak wymaga dostępu administratora do panelu sterowania Craft.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 jest podatny na zdalne wykonanie kodu (RCE) poprzez atak SSTI w silniku szablonów Twig. Luka wymaga uwierzytelnienia i dostępu administratora do panelu sterowania (przy włączonej opcji allowAdminChanges) lub konta niebędącego administratorem z dostępem do narzędzia System Messages. Atakujący może wykorzystać filtr `map` w polach tekstowych akceptujących kod Twig, co prowadzi do wykonania złośliwego kodu.

Craft CMS przed wersją 5.10.11 nie waliduje flagi administratora podczas rejestracji użytkownika, co pozwala na jej utrzymanie z dezaktywowanych kont administratora. Atakujący mogą zarejestrować się przy użyciu adresu e-mail dezaktywowanego administratora, aby odziedziczyć uprawnienia administratora, gdy włączona jest publiczna rejestracja i wyłączona weryfikacja e-maila.

Craft to platforma do tworzenia cyfrowych doświadczeń. W wersjach 5.0.0-RC1 do 5.8.20 oraz 3.0.0 do 4.16.16 nieuwierzytelnieni użytkownicy mogą wywołać operacje tworzenia kopii zapasowych bazy danych poprzez określone akcje administracyjne, co może prowadzić do wyczerpania zasobów lub ujawnienia informacji. Użytkownicy powinni zaktualizować do wersji z poprawką (5.8.21 i 4.16.17). Użytkownicy Craft 3 powinni zaktualizować do najnowszych wersji Craft 4 i 5, które zawierają poprawki.

Craft CMS od wersji 5.0.0-RC1 do przed 5.11.0 nieprawidłowo autoryzuje pola GraphQL draftCreator i revisionCreator. Zamiast wymagać zakresu user-data egzekwowanego przez Gql::canQueryUsers(), pola te są ograniczone tylko do zakresów elements.drafts:read / elements.revisions:read, a ich resolver zwraca surowy element User bez autoryzacji poszczególnych pól. Klient z tylko tymi zakresami może uzyskać adresy e-mail, nazwy użytkowników, pełne nazwiska i adresy pocztowe wszystkich twórców wersji roboczych i rewizji. Problem naprawiono w wersji 5.11.0.

Craft CMS w wersjach 5.10.0–5.10.12 zawiera niekompletną poprawkę CVE-2026-55794 — sink Controller::getPostedRedirectUrl() -> View::renderObjectTemplate() pozostał bez sandboxa, a ten sam commit dodał oracle do samodzielnego podpisywania w Cp::elementLabelHtml(). Ponieważ tokeny HMAC Craft/Yii nie są powiązane z nazwą parametru, uwierzytelniony użytkownik panelu o niskich uprawnieniach z prawem edycji jednego typu elementu może wygenerować token dla kontrolowanego przez atakującego szablonu Twig dla parametru returnUrl i odtworzyć go jako parametr POST przekierowania, osiągając niesandboxowany sink i wstrzyknięcie szablonu po stronie serwera, co prowadzi do wykonania dowolnego kodu PHP. Problem naprawiono w wersji 5.10.13.

Craft CMS w wersjach 4.8.0–4.18.5 oraz 5.0.0–5.10.12 podpisuje kontrolowany przez atakującego cookie license-shun uwierzytelnionego użytkownika tym samym kluczem i formatem, których używa do walidacji podpisanych parametrów przekierowania, ponieważ podpis HMAC nie jest powiązany z celem (cookieValidationKey Yii pochodzi z tego samego securityKey Craft używanego dla podpisanych parametrów żądania). Uwierzytelniony użytkownik niebędący administratorem może ustawić cookie przez endpoint license-shun i przenieść podpisaną kopertę do parametru przekierowania; po udanym logowaniu Craft waliduje podpis i renderuje uwierzytelnione bajty jako niesandboxowany szablon Twig, gdzie filtr map akceptuje callback tekstowy i pozwala PHP system() wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW. Eksploatacja wymaga konta z uwierzytelnianiem hasłem bez aktywnego 2FA, domyślnej konfiguracji żądań i dostępności PHP system(). Problem naprawiono w wersjach 4.18.6 i 5.10.13.

Craft CMS w wersjach od 5.0.0 do 5.10.12 traktuje awarię połączenia z bazą danych jako brak instalacji, co udostępnia anonimowe akcje instalatora (m.in. install/validate-site) na zainstalowanej stronie produkcyjnej, gdy PHP działa, ale MySQL jest niedostępny. Uwierzytelniony atakujący z ważną sesją gościa i tokenem CSRF może odczytać wartości zmiennych środowiskowych, w tym klucz bezpieczeństwa, dane dostępowe do bazy czy klucze API. Naprawiono w wersji 5.10.13.

Craft CMS w wersjach od 5.7.0 do 5.10.13 zawiera podatność typu stored XSS w funkcji Generated Fields, która wyłącza automatyczne escapowanie Twig i nie koduje wartości z pamięci podręcznej. Redaktorzy treści mogą wstrzykiwać złośliwy JavaScript przez edytowalne pola, który wykonuje się w sesjach uwierzytelnionych użytkowników Panelu sterowania o wyższych uprawnieniach. Naprawiono w wersji 5.10.13.

Craft CMS 5.0.0 do 5.10.12 zawiera wadę kontroli dostępu w punkcie końcowym zmiany kolejności zagnieżdżonych elementów. Uwierzytelniony użytkownik z uprawnieniami tylko do podglądu może zmienić kolejność bloków Matrix lub pól Address w treści innego autora, do której nie ma uprawnień zapisu.

Zdalny, uwierzytelniony użytkownik panelu administracyjnego Craft CMS bez uprawnień administratora, posiadający jedynie uprawnienie accessCp, może wykonywać polecenia systemu operacyjnego jako proces roboczy PHP.

Craft CMS przed wersją 5.10.12 zawiera podatność na zdalne wykonanie kodu w punkcie końcowym element-index, która pozwala uwierzytelnionym edytorom treści na tworzenie dowolnych klas poprzez parametr criteria. Atakujący mogą wstrzyknąć złośliwą klasę przez criteria[withTransforms][0][class], która dociera do ImageTransforms::normalizeTransform(), a następnie użyć łańcucha gadżetów PHP z yii\rbac\PhpManager do wykonania kodu, wskazując itemFile na log żądania zawierający ładunek PHP w nagłówku User-Agent.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie posiada zabezpieczenia wymaganego dla działań administracyjnych w UsersController::actionActivateUser (akcja users/activate-user). Mimo że akcja wymaga uprawnienia administrateUsers, nie wywołuje requireAdmin(), gdy docelowy użytkownik jest administratorem, w przeciwieństwie do lustrzanej akcji actionDeactivateUser. W rezultacie uwierzytelniony użytkownik panelu sterowania, który nie jest administratorem, ale posiada uprawnienie administrateUsers, może aktywować oczekujące lub celowo dezaktywowane konto administratora, co może prowadzić do eskalacji uprawnień w połączeniu z resetowaniem hasła tego konta. Problem został naprawiony w Craft CMS 5.10.12.

Craft CMS przed wersją 5.10.12 nieprawidłowo oczyszcza elementy układu pól typu string, co pozwala uwierzytelnionym użytkownikom panelu administracyjnego na wstrzykiwanie załączników zachowań Yii2 i procedur obsługi zdarzeń. Atakujący mogą wysyłać elementy zakładek układu pól jako ciągi JSON, aby ominąć walidację oczyszczania, a następnie wywołać dowolną instancję obiektu i wykonanie kodu przez Craft::createObject().

Podatność w Craft CMS, gdzie resolwery mutacji GraphQL (saveEntry, deleteEntry) odczytują siteId bezpośrednio z argumentów, bez wywołania ArgumentManager::prepareArguments(), co omija filtrowanie zakresu witryny. Atakujący z tokenem ograniczonym do witryny A może tworzyć, modyfikować lub usuwać wpisy w witrynie B.

Podatność w Craft CMS, gdzie resolwery mutacji GraphQL (saveEntry, deleteEntry) odczytują siteId bezpośrednio z argumentów, bez wywołania ArgumentManager::prepareArguments(), co omija filtrowanie zakresu witryny. Atakujący z tokenem ograniczonym do witryny A może tworzyć, modyfikować lub usuwać wpisy w witrynie B.

Craft CMS przed wersją 5.11.0 nie egzekwuje filtrów zakresu grup użytkowników na natywnych relacjach GraphQL użytkowników, w tym pól author, authors, uploader, draftCreator i revisionCreator. Atakujący z tokenem GraphQL o ograniczonym zakresie mogą odpytywać te relacje, aby odczytać nazwy użytkowników, adresy e-mail i pełne nazwy dowolnego autora lub przesyłającego treści, w tym administratorów.

Craft CMS przed wersją 5.10.11 nie sprawdza autoryzacji w punkcie końcowym assets/move-asset, gdy podano force=1. Uwierzytelnieni użytkownicy bez uprawnień do zasobów innych użytkowników mogą przenosić własne zasoby do folderów innych użytkowników i wymuszać usuwanie konfliktowych plików.

Mechanizm sandboxa Twig w Craft CMS jest skonfigurowany tak, aby umożliwiał dostęp do niebezpiecznych funkcji z frameworka Yii, co prowadzi do uwierzytelnionego zdalnego wykonania kodu (RCE), podobnie jak w przypadku wcześniej ujawnionych podatności.

Craft CMS w wersjach od 4.0.0-RC1 przed 4.18.2 oraz od 5.0.0-RC1 przed 5.10.6 zawiera uwierzytelnioną podatność zdalnego wykonania kodu w obsłudze warunków wyszukiwania elementów w panelu sterowania. Obejście czyszczenia JSON w condition.config pozwala na interpretację kluczy konfiguracji zachowania/zdarzeń Yii po dekodowaniu, umożliwiając wykonanie poleceń jako użytkownik PHP/web.

Craft CMS przed wersją 5.10.8 zawiera podatność na trwały cross-site scripting (XSS) w panelu sterowania, gdzie nazwy wersji roboczych są renderowane bez kodowania HTML w chipach i kartach elementów. Użytkownik z niskimi uprawnieniami, który może tworzyć wersje robocze elementów, może wstrzyknąć złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika z wyższymi uprawnieniami przeglądającego dany element, umożliwiając tworzenie kont i inne uwierzytelnione działania.

Craft CMS przed wersją 5.10.8 zawiera podatność na obejście uwierzytelniania w akcji elements/save, która umożliwia uwierzytelnionym użytkownikom zmianę haseł bez weryfikacji. Atakujący z uprawnieniami do edycji użytkowników mogą zresetować hasło dowolnego użytkownika, w tym administratorów, wykorzystując niechronione pole newPassword w przepływie zapisu elementu User.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.5 zawiera podatność nieprawidłowej autoryzacji. Użytkownik panelu sterowania posiadający tylko uprawnienie viewCategories (bez saveCategories) dla grupy kategorii może trwale zmodyfikować strukturę kategorii w tej grupie — zmieniając kolejność i rodziców kategorii — za pomocą akcji structures/move-element. Flaga structureEditable jest obliczana na podstawie uprawnienia do przeglądania, a nie zapisu, a StructuresController autoryzuje mutującą akcję na podstawie sesyjnego uprawnienia do odczytu bez ponownego sprawdzenia zapisu. Ponieważ URI kategorii jest wyprowadzany z jej pozycji w strukturze, przeniesienie kategorii zmienia jej URL i URL-e jej potomków oraz może uszkodzić menu nawigacyjne zbudowane z taksonomii kategorii. Problem został naprawiony w wersji 5.10.6.

Craft CMS w wersjach >= 5.0.0-RC1 przed 5.10.6 oraz >= 4.0.0-RC1 przed 4.18.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w mutacji GraphQL save<Volume>Asset, która pobiera adres URL dostarczony przez atakującego po stronie serwera. Walidacja anty-SSRF jest niekompletna: validateIp() nie obejmuje zakresów CGNAT (100.64.0.0/10) ani NAT64 (64:ff9b::/96), a jedyne sprawdzenie IP odbywa się po wysłaniu żądania. Atakujący posiadający token GraphQL z uprawnieniami tylko do tworzenia zasobów może ujawnić wewnętrzną zawartość HTTP z celów CGNAT/NAT64, wymusić wychodzące żądania GET do wewnętrznych hostów (w tym RFC1918, loopback i endpointy metadanych) oraz enumerować wewnętrzne usługi.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera teoretyczną słabość typu path traversal w funkcji ensurePathIsContained klasy Local file system. Kolejność operacji powoduje, że walidacja ścieżki odbywa się przed normalizacją, co może unieważnić wcześniejsze założenia walidacyjne i potencjalnie umożliwić dostęp do plików poza zamierzonym katalogiem. Producent zaznacza, że problem nie jest bezpośrednio wykorzystywalny i nie odkryto scenariusza ataku; poprawka jest zalecana w celu wzmocnienia bezpieczeństwa.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 interpoluje zmienne środowiskowe i sekrety (poprzez ciągi ${ENV_VAR} w parametrze elementId) do szablonów Twig przed renderowaniem, nawet gdy sandbox Twig jest włączony. Uwierzytelniony atakujący z dostępem do panelu sterowania może wyrenderować złośliwy szablon Twig w sandboxie i, stosując technikę ślepą opartą na błędach, stopniowo wyciekać dowolne zmienne środowiskowe i sekrety. Mogą one zostać wykorzystane do fałszowania sesji (poprzez CRAFT_SECURITY_KEY), eskalacji uprawnień oraz kradzieży poświadczeń bazy danych, SMTP, API lub magazynu blob. Poprawiono w wersjach 5.10.6 i 4.18.2.

Craft CMS w wersjach od 5.0.0-RC1 przed 5.10.7 i od 4.0.0-RC1 przed 4.18.3 zawiera podatność zdalnego wykonania kodu w mechanizmie piaskownicy Twig, która pozwala uwierzytelnionemu atakującemu z dostępem do panelu administracyjnego na wykonanie dowolnego kodu.

Craft CMS przed wersją 5.10.5 nie utrwala zaktualizowanych liczników poświadczeń po walidacji asercji WebAuthn w punkcie logowania passkey. Atakujący mogą odtwarzać przechwycone treści żądań logowania zawierające requestOptions i response, aby tworzyć dodatkowe uwierzytelnione sesje dla kont ofiar.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera podatność na dowolny odczyt plików. Funkcja Twig create() ogranicza tworzenie instancji klas za pomocą listy blokującej zawierającej 5 wpisów, która nie obejmuje SplFileObject, co pozwala uwierzytelnionemu administratorowi (z allowAdminChanges=true) skonfigurować złośliwy format tytułu lub URI wpisu, który tworzy instancję SplFileObject w kontekście szablonu bez sandboxa. Gdy użytkownik następnie utworzy wpis w dotkniętej sekcji, dowolne pliki na serwerze (takie jak .env zawierający klucz bezpieczeństwa i poświadczenia bazy danych) są odczytywane i renderowane jako tytuły wpisów.

Craft CMS w wersjach od 4.0.0-RC1 przed 4.18.2 i od 5.0.0-RC1 przed 5.10.6 zawiera podatność uwierzytelnionego zdalnego wykonania kodu w obsłudze warunków wyszukiwania elementów panelu administracyjnego, która pozwala na wykonanie poleceń systemu operacyjnego.

W Craft CMS do wersji 4.18.0.1 wykryto podatność w endpointcie Charts. Funkcja actionGetNewUsersData w pliku ChartsController.php nieprawidłowo autoryzuje dostęp przez argument userGroupId, co umożliwia nieautoryzowane działanie. Atak może być przeprowadzony zdalnie.

W Craft CMS do wersji 4.18.0.1 wykryto podatność w funkcji actionReorderSets w pliku GlobalsController.php. Manipulacja parametrami endpointu reorder-sets prowadzi do obejścia autoryzacji.

Craft CMS w wersjach od 5.0.0-RC1 do 5.9.21 oraz od 4.0.0-RC1 do 4.17.14 zawiera podatność autoryzacyjną, która umożliwia wymuszone przeniesienie folderu i usunięcie kolidującego folderu docelowego bez wymaganych uprawnień do jego usunięcia. Problem dotyczy funkcji actionMoveFolder() w kontrolerze AssetsController.

Craft CMS w wersjach od 5.7.0 do 5.9.20 zawiera podatność na masowe przypisanie atrybutów w akcji masowego duplikowania elementów. Atakujący, który może duplikować własne wpisy, może przesłać dowolne id przez parametr newAttributes, co prowadzi do nadpisania istniejącego wpisu ofiary.

Craft CMS w wersjach od 5.9.0 do 5.10.0 zawiera podatność, która pozwala użytkownikom panelu administracyjnego z uprawnieniami do edycji wpisów na wykonanie niesandboxowanego kodu Twig poprzez nagłówek HTTP Referrer. Problem występuje podczas zapisywania wpisów, gdy ciąg znaków dla podpisanego adresu URL przekierowania jest kompilowany jako szablon Twig bez użycia sandboxa, co może prowadzić do zdalnego wykonania kodu (RCE) po uwierzytelnieniu.