CVE-2026-32272 in Craft
Zusammenfassung
von VulDB • 08.06.2026
Craft Commerce ist eine E-Commerce-Plattform für Craft CMS. In den Versionen 5.0.0 bis 5.5.4 besteht eine SQL-Injection-Schwachstelle, bei der die Eigenschaften ProductQuery::hasVariant und VariantQuery::hasProduct das in einer früheren Sicherheitskorrektur (GHSA-2453-mppf-46cj) für ElementIndexesController eingeführte Input-Sanitization-Blocklist umgehen. Die Blockliste entfernt nur Top-Level-Yii2-Query-Eigenschaften wie where und orderBy, während hasVariant und hasProduct unangetastet durchgelassen werden und intern Craft::configure() auf einer Unterabfrage ohne Sanitization aufrufen, wodurch die SQL-Injection erneut eingeführt wird. Jeder authentifizierte Benutzer des Control Panels kann dies über eine boolesche Blind-SQL-Injection ausnutzen, um beliebige Datenbankinhalte zu extrahieren, einschließlich Sicherheitsschlüsseln, mit denen Admin-Sitzungen gefälscht und ein Privilege Escalation ermöglicht werden können. Dieses Problem wurde in Version 5.6.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.