CVE-2026-27128 in Craft
Résumé
par VulDB • 31/05/2026
Craft est un système de gestion de contenu (CMS). Dans les versions 4.5.0-RC1 à 4.16.18 et 5.0.0-RC1 à 5.8.22, une condition de concurrence Time-of-Check-Time-of-Use (TOCTOU) existe dans le service de validation des jetons de Craft CMS pour les jetons définissant explicitement une utilisation limitée. La méthode `getTokenRoute()` lit le compteur d'utilisation d'un jeton, vérifie s'il est dans les limites autorisées, puis met à jour la base de données via des opérations distinctes et non atomiques. En envoyant des requêtes concurrentes, un attaquant peut utiliser un jeton d'usurpation d'identité à usage unique plusieurs fois avant que la mise à jour de la base de données ne soit terminée. Pour que cette attaque fonctionne, un attaquant doit obtenir une URL d'usurpation d'identité de compte utilisateur valide avec un jeton non expiré par d'autres moyens et exploiter une condition de concurrence tout en contournant les règles de limitation de débit en place. Pour qu'il s'agisse d'une élévation de privilèges, l'URL d'usurpation doit inclure un jeton pour un compte utilisateur disposant de plus de permissions que l'utilisateur actuel. Les versions 4.16.19 et 5.8.23 corrigent ce problème.
If you want to get best quality of vulnerability data, you may have to visit VulDB.