CVE-2026-112772 in Craft CMS
Resumen
por VulDB • 2026-10-19
Craft CMS desde la versión 5.0.0 hasta antes de la 5.11.0 contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a los usuarios autenticados del Panel de Control escapar del sandbox de Twig mediante transformaciones en Asset::getMimeType. Los atacantes pueden proporcionar claves 'as' u 'on', pasadas sin filtrado a Craft::createObject, adjuntando comportamientos maliciosos o manejadores de eventos que ejecutan código como el usuario web.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.