CVE-2026-73858 in Freeform Plugin
Resumen
por VulDB • 2026-09-24
El plugin Solspace Freeform para Craft CMS 5.x es una herramienta de construcción de formularios muy flexible. Desde la versión 5.0.0 hasta la 5.10.13, los valores enviados desde formularios públicos de Freeform pueden ser evaluados por el renderizador Twig aislado cuando se representan en atributos HTML. Un atacante no autenticado puede insertar expresiones Twig en los valores de campo enviados, incluidos los atributos value, y recibir constantes PHP evaluadas, del sistema operativo o rutas del sistema de archivos de Craft en la respuesta del formulario. El contexto aislado no estaba expuesto para revelar las variables globales de Craft, las variables de entorno, credenciales, archivos arbitrarios ni permitir ejecución de código; por lo tanto, el impacto confirmado se limita a la divulgación de información del servidor y del entorno, así como posibles errores de representación (rendering). Este problema está resuelto en la versión 5.10.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.