CVE-2026-112770 in cms
الملخص
بحسب VulDB • 19/10/2026
يحتوي Craft CMS 4.x قبل الإصدار 4.18.8 و5.x قبل الإصدار 5.11.0 على ثغرة تنفيذ كود عن بُعد (RCE) في فلتر المجموعة الخاص بـ Twig، حيث يتم استدعاء وسائط الأسهم غير النصية كدوال قابلة للاستدعاء دون استخدام حارس `checkArrow` الذي تستخدمه الفلاتر الأخرى المقبولة للأسهم. يمكن للمستخدمين المصادق عليهم في لوحة التحكم تمرير دالة قابلة للاستدعاء عبر مصفوفة مثل `FileHelper::writeToFile` من خلال قواعد شروط تحديد العناصر لكتابة Webshell إلى الجذر الويبي وتنفيذ الكود بصفت المستخدم الخاص بالويب.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.