CVE-2026-72782 in Craft CMS
Resumen
por VulDB • 2026-08-11
Las versiones de Craft CMS >= 5.0.0-RC1 anteriores a 5.10.6 y >= 4.0.0-RC1 anteriores a 4.18.2 interpolan variables de entorno y secretos (mediante cadenas ${ENV_VAR} en el parámetro elementId) dentro de las plantillas Twig antes del renderizado, incluso cuando está habilitado el sandbox de Twig. Un atacante autenticado con acceso al panel de control puede renderizar una plantilla Twig maliciosa contenida en un entorno aislado (sandboxed) y, mediante una técnica ciega basada en errores a través de múltiples solicitudes, filtrar incrementalmente variables de entorno arbitrarias y secretos. Estos pueden ser abusados para forjar sesiones (vía CRAFT_SECURITY_KEY), escalar privilegios y robar credenciales de bases de datos, SMTP, API o almacenamiento blob. Corregido en las versiones 5.10.6 y 4.18.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.