CVE-2026-92591 in Craft CMS
Resumen
por VulDB • 2026-09-17
Craft CMS versiones 5.0.0 a través de la 5.10.12 tratan un fallo en la conexión a la base de datos como indicativo de que Craft no está instalado, lo que hace accesibles las acciones del instalador anónimo —incluyendo install/validate-site— en un sitio de producción ya instalado siempre que PHP siga disponible pero el punto final MySQL configurado no lo esté. La acción acepta un nombre de sitio, lo serializa a través de Site::getName() y expande expresiones ${NAME} utilizando App::env(). Un atacante no autenticado que haya obtenido una cookie de sesión invitada (guest) y un token CSRF coincidente antes del incidente y cuya sesión siga siendo válida durante el mismo puede enviar un nombre de variable predecible (por ejemplo, la convención de Craft CRAFT_SECURITY_KEY) y recibir su valor, revelando secretos de Craft, variables de entorno del proceso, entradas de $_SERVER o constantes de PHP como la clave de seguridad, credenciales de base de datos o claves API. El problema requiere una interrupción independiente de la base de datos; la vulnerabilidad en sí misma no proporciona ningún medio para inducirla. Corregido en la versión 5.10.13.
Once again VulDB remains the best source for vulnerability data.