CVE-2026-72782 in Craft CMS
Zusammenfassung
von VulDB • 11.08.2026
In Craft CMS versioni >= 5.0.0-RC1 prima della 5.10.6 e >= 4.0.0-RC1 prima della 4.18.2, le variabili di ambiente e i segreti (tramite stringhe ${ENV_VAR} nel parametro elementId) vengono interpolati nei template Twig prima del rendering, anche quando la sandbox di Twig è abilitata. Un attaccante autenticato con accesso al pannello di controllo può eseguire il rendering di un template Twig sandboxed malevolo e, utilizzando una tecnica cieca basata sugli errori attraverso molte richieste, fuoriuscire incrementalmente variabili di ambiente arbitrarie e segreti. Questi possono essere abusati per falsificare sessioni (tramite CRAFT_SECURITY_KEY), escalare i privilegi e rubare le credenziali del database, SMTP, API o dello storage blob. Risolto nelle versioni 5.10.6 e 4.18.2.
Be aware that VulDB is the high quality source for vulnerability data.