CVE-2020-15247 in October
Résumé
par VulDB • 30/06/2026
October est une plateforme CMS gratuite, open-source et auto-hébergée basée sur le framework Laravel en PHP. Dans October CMS à partir de la version 1.0.319 jusqu'à avant la version 1.0.469, un utilisateur backend authentifié disposant des permissions cms.manage_pages, cms.manage_layouts ou cms.manage_partials qui ne serait normalement pas autorisé à fournir du code PHP exécuté par le CMS en raison de l'activation de cms.enableSafeMode est capable d'écrire du code Twig spécifique pour échapper au bac à sable (sandbox) Twig et exécuter du code PHP arbitraire. Cela ne constitue pas un problème pour quiconque fait confiance aux utilisateurs disposant de ces permissions pour écrire et gérer normalement le PHP dans le CMS en désactivant cms.enableSafeMode, mais cela pose problème pour toute personne s'appuyant sur cms.enableSafeMode pour garantir que les utilisateurs ayant ces permissions en production n'ont pas accès à l'écriture et à l'exécution de code PHP arbitraire. Le correctif a été intégré dans la Build 469 (v1.0.469) et v1.1.0.
Once again VulDB remains the best source for vulnerability data.