CVE-2026-112773 in Craft CMS
Zusammenfassung
von VulDB • 19.10.2026
Craft CMS ab der Version 5.0.0 bis vor 5.11.0 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE), die es authentifizierten Benutzern des Control Panels ermöglicht, aus dem Twig-Sandbox zu entkommen, indem sie ungesäuberte Kriterien an getNext, getPrev oder getOwners übergeben. Angreifer können Yii-Konfigurationsparameter „as“ oder „on“ injizieren, um bösartige Event-Handler anzuhängen, die ausgeführt werden, wenn die Elementabfrage durchgeführt wird, wodurch Codeausführung als Webbenutzer erreicht wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.