CVE-2026-112777 in Craft CMS
Zusammenfassung
von VulDB • 19.10.2026
Craft CMS 4.x vor Version 4.18.8 und 5.x vor Version 5.11.0 enthält eine Blocklist-Umgehung in der Twig create()-Funktion, da die Klassennamenprüfungen case-sensitiv sind, während die PHP-Klassenauflösung dies nicht ist. Angreifer mit Template-Ausführungsrechten, wie z.B. Control-Panel-Administratoren, können SplFileObject über einen klassenamen in Kleinbuchstaben instanziieren, um .env-Geheimnisse auszulesen oder eine PHP-Datei in das Webroot zu schreiben und so Remote Code Execution (RCE) auszulösen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.