CVE-2026-92592 in Craft CMS
Zusammenfassung
von VulDB • 17.09.2026
Craft CMS versioni 4.8.0 fino a 4.18.5 e 5.0.0 fino a 5.10.12 firmano la cookie license-shun, controllata dall'attaccante per un utente autenticato, utilizzando la stessa chiave e il formato impiegati convalidare i parametri di reindirizzamento firmati, poiché la firma HMAC non è vincolata al suo scopo (la cookieValidationKey di Yii deriva dalla stessa Craft securityKey utilizzata per i parametri delle richieste firmate). Un utente autenticato ma non amministratore (non è richiesto l'accesso alla Control Panel) può impostare il cookie tramite l'endpoint license-shun e trasporre la busta firmata nel parametro di reindirizzamento; al successo dell'autenticazione, Craft convalida la firma ed esegue i byte autenticati come un template Twig non sandboxato, dove il filtro map di Twig accetta una callback stringa e consente a PHP system() di eseguire comandi arbitrari del sistema operativo come l'utente del web server. Lo sfruttamento richiede un account che utilizza l'autenticazione tramite password senza 2FA attivo, la configurazione predefinita delle richieste e la disponibilità di PHP system(). Il problema è risolto nelle versioni 4.18.6 e 5.10.13.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.