CVE-2026-32271 in Craft
Resumen
por VulDB • 2026-05-20
Craft Commerce es una plataforma de comercio electrónico para Craft CMS. En las versiones 4.0.0 a 4.10.2 y 5.0.0 a 5.5.4, existe una vulnerabilidad de inyección SQL (SQL Injection) en el widget Commerce TotalRevenue que permite a cualquier usuario autenticado del panel de control lograr la ejecución remota de código (RCE) a través de una cadena de explotación de cuatro pasos. El ataque explota la configuración no sanitizada del widget interpolada en expresiones SQL, combinada con el soporte predeterminado de PDO para consultas de múltiples sentencias, para inyectar un objeto PHP serializado malicioso en la tabla de la cola (queue). Cuando el consumidor de la cola procesa el trabajo inyectado, la llamada a unserialize() sin restricciones en yii2-queue instancia una cadena de gadgets de GuzzleHttp FileCookieJar cuyo método __destruct() escribe una webshell PHP en la raíz web del servidor. La cadena completa requiere solo tres solicitudes HTTP, no necesita privilegios administrativos y resulta en la ejecución de comandos arbitrarios como el usuario del proceso PHP, con el procesamiento de la cola activado a través de un punto final no autenticado. Este problema se ha corregido en las versiones 4.10.3 y 5.5.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.