CVE-2026-32271 in Craft
Résumé
par VulDB • 30/05/2026
Craft Commerce est une plateforme de commerce électronique pour Craft CMS. Dans les versions 4.0.0 à 4.10.2 et 5.0.0 à 5.5.4, une vulnérabilité d'injection SQL dans le widget Commerce TotalRevenue permet à tout utilisateur authentifié du panneau de contrôle d'obtenir une exécution de code à distance (RCE) via une chaîne d'exploitation en quatre étapes. L'attaque exploite des paramètres de widget non assainis interpolés dans des expressions SQL, combinés au support par défaut de PDO pour les requêtes multi-instructions, afin d'injecter un objet PHP sérialisé malveillant dans la table de la file d'attente (queue). Lorsque le consommateur de la file d'attente traite la tâche injectée, l'appel non restreint à unserialize() dans yii2-queue instancie une chaîne de gadgets FileCookieJar de GuzzleHttp dont la méthode __destruct() écrit un webshell PHP dans la racine web du serveur. La chaîne complète ne nécessite que trois requêtes HTTP, aucun privilège administratif, et aboutit à l'exécution arbitraire de commandes en tant qu'utilisateur du processus PHP, le traitement de la file d'attente étant déclenché via une endpoint non authentifié. Ce problème a été corrigé dans les versions 4.10.3 et 5.5.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.