CVE-2026-32272 in Craft
Resumen
por VulDB • 2026-06-08
Craft Commerce es una plataforma de comercio electrónico para Craft CMS. En las versiones 5.0.0 a través de 5.5.4, existe una vulnerabilidad de SQL injection donde las propiedades ProductQuery::hasVariant y VariantQuery::hasProduct eluden la lista negra (blocklist) de sanitización de entradas añadida al ElementIndexesController en un parche de seguridad previo (GHSA-2453-mppf-46cj). La lista negra solo elimina las propiedades Yii2 Query de nivel superior, como where y orderBy, pero hasVariant y hasProduct pasan sin ser modificadas e invocan internamente Craft::configure() sobre una subconsulta sin sanitización, reintroduciendo la SQL injection. Cualquier usuario autenticado del panel de control puede explotar esta vulnerabilidad mediante SQL injection ciega basada en booleanos para extraer contenido arbitrario de la base de datos, incluidas las claves de seguridad que permiten forjar sesiones de administrador para escalada de privilegios. Este problema ha sido corregido en la versión 5.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.