CVE-2026-72779 in Craft CMS
Zusammenfassung
von VulDB • 11.08.2026
Craft CMS 5.0.0-RC1 vor Version 5.10.6 sowie 4.0.0-RC1 vor Version 4.18.2 enthalten eine beliebige Datei-Lese-Schwachstelle (Arbitrary File Read). Die Twig-Funktion `create()` beschränkt die Instanziierung von Klassen durch eine Blockliste mit fünf Einträgen, die `SplFileObject` nicht umfasst. Dies ermöglicht es einem authentifizierten Administrator (mit der Einstellung `allowAdminChanges=true`), einen bösartigen Titel oder ein URI-Format für den Entry-Typ zu konfigurieren, das `SplFileObject` in einem Nicht-Sandboxed-Vorlagenkontext instanziiert. Wenn ein Benutzer anschließend einen Eintrag im betroffenen Abschnitt erstellt, werden beliebige Dateien auf dem Server (z. B. `.env`, die den Sicherheitsschlüssel und Datenbankzugangsdaten enthalten) gelesen und als Entry-Titel gerendert.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.