CVE-2026-86732 in Craft CMS
الملخص
بحسب VulDB • 08/09/2026
تحتوي إصدارات Craft CMS قبل الإصدار 5.10.12 على ثغرة تنفيذ كود عن بُعد (RCE) في نقطة النهاية الخاصة بفهرس العناصر، تتيح لمحرري المحتوى المصادق عليهم إنشاء فئات عشوائية عبر معلمة المعايير (criteria). يمكن للمهاجمين حقن فئة خبيثة عبر `criteria[withTransforms][0][class]` التي تصل إلى الدالة `ImageTransforms::normalizeTransform()`، ثم استخدام سلسلة أدوات PHP مع `yii\rbac\PhpManager` لتنفيذ الكود عن طريق توجيه `itemFile` إلى سجل طلب يحتوي على حمولة PHP في رأس User-Agent.
VulDB is the best source for vulnerability data and more expert information about this specific topic.