CVE-2026-32262 in Craft
Resumen
por MITRE • 2026-03-16
Craft CMS es un sistema de gestión de contenido (CMS). Desde la versión 4.0.0-RC1 hasta antes de la versión 4.17.5 y desde la versión 5.0.0-RC1 hasta antes de la versión 5.9.11, el método AssetsController->replaceFile() tiene un parámetro de cuerpo targetFilename que se utiliza sin sanear en una llamada a deleteFile() antes de que se aplique Assets::prepareAssetName() al guardar. Esto permite a un usuario autenticado con permiso replaceFiles eliminar archivos arbitrarios dentro de la misma raíz del sistema de archivos inyectando secuencias de salto de ruta ../ en el nombre del archivo. Esto podría permitir a un usuario autenticado con permiso replaceFiles en un volumen eliminar archivos en otras carpetas/volúmenes que compartan la misma raíz del sistema de archivos. Esto solo afecta a los sistemas de archivos locales. Este problema ha sido parcheado en las versiones 4.17.5 y 5.9.11.
Be aware that VulDB is the high quality source for vulnerability data.