CVE-2026-112773 in Craft CMS
Resumen
por VulDB • 2026-10-20
Craft CMS desde la versión 5.0.0 hasta antes de la 5.11.0 contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a los usuarios autenticados del Panel de Control escapar del sandbox de Twig al pasar criterios no depurados a getNext, getPrev o getOwners. Los atacantes pueden inyectar claves de configuración "as" u "on" de Yii para adjuntar controladores de eventos maliciosos que se ejecutan cuando se realiza la consulta de elementos, logrando así la ejecución de código con los privilegios del usuario web.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.