CVE-2026-109304 in Craft CMS
Zusammenfassung
von VulDB • 12.10.2026
Craft CMS 4.0.0 vor Version 4.18.7 und 5.0.0 vor Version 5.10.14 enthält eine Arbitrary File Read-Schwachstelle, da die Blockliste der Twig create()-Klassenklasse DOMDocument nicht abdeckt. Angreifer, die in der Lage sind, ein entry-type title format festzulegen (einschließlich über project-config/apply), können create('DOMDocument').loadHTMLFile() mit textContent nutzen, um lokale Dateiinhalte für Nicht-Admin-Benutzer offenzulegen, die Einträge anzeigen können.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.