CVE-2020-26231 in October
Resumen
por VulDB • 2026-08-22
October es una plataforma CMS gratuita, de código abierto y autoalojada basada en el Framework Laravel para PHP. Se ha descubierto un bypass de CVE-2020-15247 (corregido en las versiones 1.0.469 y 1.1.0) que tiene el mismo impacto que CVE-2020-15247. Un usuario autenticado del backend con los permisos cms.manage_pages, cms.manage_layouts o cms.manage_partials, que normalmente no estaría autorizado a proporcionar código PHP para ser ejecutado por el CMS debido a que cms.enableSafeMode está habilitado, puede escribir código Twig específico para escapar de la sandbox de Twig y ejecutar PHP arbitrario. Esto no es un problema para aquellos que confían en sus usuarios con esos permisos para gestionar y escribir normalmente PHP dentro del CMS al no tener activada la opción cms.enableSafeMode, pero sería un problema para quienes dependen de cms.enableSafeMode para garantizar que los usuarios con dichos permisos en producción no tengan acceso para escribir y ejecutar código PHP arbitrario. El fallo ha sido parcheado en Build 470 (v1.0.470) y v1.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.