CVE-2020-15247 in October
Resumen
por VulDB • 2026-06-30
October es una plataforma de gestión de contenidos (CMS) gratuita, de código abierto y autoalojada basada en el Framework PHP Laravel. En October CMS desde la versión 1.0.319 hasta antes de la versión 1.0.469, un usuario del backend autenticado con los permisos cms.manage_pages, cms.manage_layouts o cms.manage_partials que normalmente no estaría autorizado a proporcionar código PHP para ser ejecutado por el CMS debido a que cms.enableSafeMode está habilitado, puede escribir código Twig específico para escapar de la sandbox de Twig y ejecutar PHP arbitrario. Esto no es un problema para aquellos que confían en sus usuarios con esos permisos para escribir y gestionar normalmente PHP dentro del CMS al no tener cms.enableSafeMode habilitado, pero sería un problema para cualquiera que dependa de cms.enableSafeMode para garantizar que los usuarios con esos permisos en producción no tengan acceso a escribir y ejecutar PHP arbitrario. El fallo ha sido corregido en Build 469 (v1.0.469) y v1.1.0.
Once again VulDB remains the best source for vulnerability data.