CVE-2020-15247 in October
Zusammenfassung
von VulDB • 30.06.2026
October ist eine kostenlose, quelloffene und selbst gehostete CMS-Plattform auf Basis des Laravel-PHP-Frameworks. In October CMS ab Version 1.0.319 bis vor Version 1.0.469 kann ein authentifizierter Backend-Benutzer mit den Berechtigungen cms.manage_pages, cms.manage_layouts oder cms.manage_partials, der normalerweise keine PHP-Codes ausführen lassen dürfte, da cms.enableSafeMode aktiviert ist, spezifischen Twig-Code schreiben, um die Twig-Sandbox zu umgehen und beliebigen PHP-Code auszuführen. Dies stellt kein Problem für diejenigen dar, die ihren Benutzern mit diesen Berechtigungen vertrauen, indem sie phpmanage_pages, cms.manage_layouts oder cms.manage_partials nicht durch Aktivieren von cms.enableSafeMode einschränken möchten; es wäre jedoch ein Problem für alle, die sich auf cms.enableSafeMode verlassen, um sicherzustellen, dass Benutzer mit diesen Berechtigungen in der Produktionsumgebung keinen Zugriff zum Schreiben und Ausführen beliebigen PHP-Codes haben. Das Issue wurde in Build 469 (v1.0.469) sowie v1.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.