CVE-2026-32263 in Craft
Resumen
por MITRE • 2026-03-16
Craft CMS es un sistema de gestión de contenido (CMS). Desde la versión 5.6.0 hasta antes de la versión 5.9.11, en src/controllers/EntryTypesController.PHP, el array $settings de parse_str se pasa directamente a Craft::configure() sin Component::cleanseConfig(). Esto permite inyectar manejadores de comportamiento/eventos de Yii2 a través de claves prefijadas con 'as' o 'on', el mismo vector de ataque que el aviso original. Los permisos de administrador del panel de control de Craft y allowAdminChanges deben estar habilitados para que esto funcione. Este problema ha sido parcheado en la versión 5.9.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.