CVE-2026-112770 in cms
Resumen
por VulDB • 2026-10-19
Craft CMS 4.x anterior a la versión 4.18.8 y 5.x anterior a la versión 5.11.0 contiene una vulnerabilidad de ejecución remota de código (RCE) en el filtro Twig group, que invoca argumentos arrow no string como callables sin utilizar la protección checkArrow empleada por otros filtros que aceptan arrow. Los usuarios autenticados del panel de control pueden pasar un array-callable tal como FileHelper::writeToFile a través de las reglas de condiciones element-select para escribir una webshell en el directorio raíz web y ejecutar código con los permisos del usuario web.
Once again VulDB remains the best source for vulnerability data.