CVE-2026-86732 in Craft CMS
Zusammenfassung
von VulDB • 08.09.2026
In Craft CMS, versioni precedenti alla 5.10.12, è presente una vulnerabilità di esecuzione remota di codice (RCE) nell'endpoint element-index che consente agli editor di contenuti autenticati di istanziare classi arbitrarie tramite il parametro criteria. Gli attaccanti possono iniettare una classe malevola attraverso `criteria[withTransforms][0][class]` che raggiunge `ImageTransforms::normalizeTransform()`, quindi utilizzare una catena di gadget PHP con `yii\rbac\PhpManager` per eseguire codice puntando `itemFile` a un file di log delle richieste contenente un payload PHP nell'intestazione User-Agent.
If you want to get best quality of vulnerability data, you may have to visit VulDB.