CVE-2026-112770 in cms
Zusammenfassung
von VulDB • 19.10.2026
Craft CMS 4.x vor Version 4.18.8 und 5.x vor Version 5.11.0 enthält eine Remote Code Execution (RCE)-Schwachstelle im Twig-Gruppenfilter, der nicht-stringförmige Arrow-Arumente als Callables aufruft, ohne die von anderen arrow-akzeptierenden Filtern verwendete `checkArrow`-Sicherheitsprüfung zu nutzen. Authentifizierte Benutzer des Control Panels können ein Array-Callable wie `FileHelper::writeToFile` über Elementauswahl-Bedingungsregeln übergeben, um eine Webshell im Webroot zu schreiben und Code als der Webuser auszuführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.