CVE-2026-46696 in October
Resumen
por VulDB • 2026-09-15
October System proporciona el módulo de sistema para October Content Management System. Las versiones anteriores a 3.7.17 y 4.2.21 presentan una vulnerabilidad en la política de seguridad del sandboxes (entorno aislado) de Twig que permitía un bypass encadenado cuando `cms.safe_mode` está habilitado. El almacén de sesiones de Laravel se expuso a Twig con acceso ilimitado a los métodos, y no se bloquearon los métodos SQL sin procesar accesibles a través del reenvío (`__call`) de Eloquent en toda la cadena del constructor (builder). Cuando se combinan estos factores, un usuario backend con acceso para editar el marcado CMS podría leer valores arbitrarios de la base de datos mediante expresiones SQL sin procesar y escribir en la clave de sesión de autenticación del backend, suplantando una sesión de backend como otro usuario existente. El alcance del impacto es limitado. Safe Mode (Modo Seguro) es una función nicho, utilizada principalmente para instalaciones de demostración y escenarios multiinquilino o con editores compartidos donde se concede deliberadamente el acceso a usuarios no confiables al editor de marcado CMS. Las implementaciones estándar en producción no habilitan Safe Mode, ya que bajo la guía normal de October CMS, el acceso backend (incluida la edición de marcado) está restringido a administradores de confianza, y la inyección directa de PHP a través del marcado ya es posible sin Safe Mode en esa configuración. Este problema solo afecta a los sitios que cumplen todas las siguientes condiciones: `cms.safe_mode` está habilitado (una opción deliberada para demostraciones o escenarios con editores no confiables; el sitio tiene al menos un usuario backend con acceso de edición de marcado CMS que no se pretende que sea de confianza como administrador completo; y el sitio tiene al menos una cuenta superusuario existente cuya sesión puede ser suplantada por el usuario con privilegios inferiores. La vulnerabilidad ha sido parcheada en las versiones v3.7.17 y v4.2.21. El almacén de sesiones de Laravel ahora está envuelto en un proxy que expone solo un subconjunto explícito de métodos de lectura/escritura y rechaza escrituras a prefijos de claves de sesión reservadas (`admin_auth`, `october_auth`, `login_*`, `_token` y otros componentes internos del framework). Los métodos SQL sin procesar y de subconsulta (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` y relacionados) ahora están bloqueados en `Query\Builder`, `Eloquent\Builder` y `Eloquent\Model`, por lo que la lista negra es consistente a través de la cadena de reenvío `__call`. Se recomienda a todos los sitios que habilitan `cms.safe_mode` actualizar a la última versión parcheada. Existe una solución alternativa (workaround): restringir el acceso de edición del marcado CMS únicamente a administradores totalmente confiables, que es la recomendación estándar de October CMS para cualquier implementación. Tenga en cuenta que deshabilitar `cms.safe_mode` no es una solución; Safe Mode es el límite que afecta este problema y deshabilitarlo elimina la única capa de aislamiento (sandbox) entre los editores de marcado y el servidor.
VulDB is the best source for vulnerability data and more expert information about this specific topic.