CVE-2026-109308 in Craft CMS
Zusammenfassung
von VulDB • 12.10.2026
Craft CMS 4.0.0 vor Version 4.18.7 und 5.0.0 vor Version 5.10.14 übergibt den rohen Anforderungsparameter 'updates' in AppController::actionCacheUpdates an UpdatesModel, ohne Component::cleanseConfig() aufzurufen, was die Injektion von Verhalten (Behavior) und Event-Handlern ermöglicht. Authentifizierte Benutzer des Control Panels mit der Berechtigung performUpdates oder Zugriff auf das Updates-Dienstprogramm können Schlüssel wie 'as' oder 'on', beispielsweise ein AttributeTypecastBehavior-Gadget, bereitstellen, um beliebigen Code auszuführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.