CVE-2026-109304 in Craft CMS
Riassunto
di VulDB • 12/10/2026
Craft CMS 4.0.0 prima della versione 4.18.7 e 5.0.0 prima della versione 5.10.14 presenta una vulnerabilità di lettura arbitraria dei file poiché la blacklist del blocco create() nella classe Twig non include DOMDocument. Gli attaccanti in grado di impostare un formato per il titolo del tipo di voce, anche tramite project-config/apply, possono utilizzare create('DOMDocument').loadHTMLFile() con textContent per esporre i contenuti dei file locali agli utenti non amministratori che hanno la possibilità di visualizzare le voci.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.