CVE-2026-92592 in Craft CMS
Résumé
par VulDB • 17/09/2026
Craft CMS versions 4.8.0 through 4.18.5 et 5.0.0 through 5.10.12 signent un cookie "license-shun" contrôlé par l'attaquant, associé à un utilisateur authentifié, en utilisant la même clé et le même format que ceux employés pour valider les paramètres de redirection signés, car la signature HMAC n'est pas liée à son objectif (la `cookieValidationKey` de Yii est dérivée de la même `securityKey` Craft utilisée pour les paramètres de requête signés). Un utilisateur authentifié non administrateur (l'accès au panneau de contrôle n'est pas requis) peut définir le cookie via l'endpoint "license-shun" et transplanter l'enveloppe signée dans le paramètre de redirection ; lors d'une connexion réussie, Craft valide la signature et interprète les octets authentifiés comme un template Twig non sandboxé, où le filtre `map` de Twig accepte une callback sous forme de chaîne de caractères et permet à PHP system() d'exécuter des commandes arbitraires du système d'exploitation en tant qu'utilisateur du serveur web. L'exploitation nécessite un compte utilisant l'authentification par mot de passe sans 2FA actif, la configuration de requête par défaut et la disponibilité de `PHP system()`. Le problème est corrigé dans les versions 4.18.6 et 5.10.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.