CVE-2026-112774 in Craft CMS
Resumen
por VulDB • 2026-10-19
Craft CMS, desde la versión 5.8.0 hasta antes de la 5.11.0, contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a los administradores autenticados inyectar comportamientos Yii proporcionando un diseño de campo en formato JSON a `ContentBlock::setFieldLayout()`. Los atacantes con `allowAdminChanges` habilitado pueden incluir claves 'as X' o 'on X' que omiten la función `cleanseConfig()` para ejecutar comandos del sistema operativo (OS) como el usuario web y revelar secretos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.