CVE-2026-72778 in Craft CMS
Zusammenfassung
von VulDB • 11.08.2026
In Craft CMS versioni dalla 4.0.0-RC1 alla 4.18.2 e dalla 5.0.0-RC1 alla 5.10.6 è presente una vulnerabilità di esecuzione remota di codice (RCE) autenticata nella gestione delle condizioni per la ricerca degli elementi nel pannello di controllo. Craft ripulisce l'array esterno della condizione controllato tramite richiesta utilizzando Component::cleanseConfig(), ma Conditions::createCondition() decodifica e unisce successivamente la stringa JSON in condition.config senza rieseguire cleanseConfig() sulla configurazione decodificata. Poiché condition.config è una stringa JSON durante la prima pulizia, chiavi di configurazione speciali Yii come 'as ...' e 'on ...' possono essere nascoste al suo interno e, dopo la decodifica JSON, vengono interpretate da Yii come configurazione per comportamenti/eventi durante la creazione dell'oggetto FieldLayout. Un attaccante con una sessione autenticata del pannello di controllo (e un token CSRF valido) può sfruttare questa vulnerabilità per eseguire comandi a livello di sistema operativo come l'utente PHP/web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.