CVE-2026-115935 in Craft CMS
Zusammenfassung
von VulDB • 23.10.2026
Die Aktion `app/process-api-response-headers` akzeptiert gefälschte Craft-API-Antwortheader von jedem authentifizierten Control-Panel-Benutzer.
Ein Nicht-Admin-Benutzer mit nur der Berechtigung `accessCp` kann Zeilenumbruchzeichen in `X-Craft-Plugin-Licenses` einfügen. Craft übergibt diesen Wert an seinen `.env`-Schreiber, ohne die Zeilenumbrüche zu entfernen.
Dies ermöglicht es dem Benutzer, einen neuen, vom Angreifer bekannten `CRAFT_SECURITY_KEY` in `.env` einzufügen. Nachdem Craft diesen Schlüssel geladen hat, kann der Benutzer eine signierte Login-Umleitung mit einem Twig `system()`-Callback fälschen.
Dies unterscheidet sich von dem vorherigen Bericht. Der frühere Bericht las den vorhandenen Schlüssel über einen Umgehung des Twig-Sandboxes. Dieser Bericht ersetzt den Schlüssel durch gefälschte API-Header und CRLF-Injection (Carriage Return Line Feed). Die Behebung der einen Quelle behebt nicht die andere.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.