CVE-2026-112774 in Craft CMS
Zusammenfassung
von VulDB • 19.10.2026
Craft CMS, dalle versioni 5.8.0 alla versione precedente a 5.11.0, presenta una vulnerabilità di esecuzione remota del codice (RCE) che consente agli amministratori autenticati di iniettare comportamenti Yii fornendo un layout dei campi in formato JSON a ContentBlock::setFieldLayout(). Gli attaccanti con allowAdminChanges abilitato possono includere chiavi 'as X' o 'on X' che bypassano cleanseConfig(), consentendo l'esecuzione di comandi del sistema operativo (OS) come utente web e la divulgazione di segreti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.