CVE-2026-109305 in Craft CMS
Riassunto
di VulDB • 12/10/2026
Craft CMS dalle versioni 5.10.2 alla versione precedente a 5.10.14 presenta una bypass del Twig sandbox che consente agli utenti non amministratori di invocare callable PHP tramite gli operatori "has some" e "has every". Gli utenti con l'autorizzazione System Messages possono fornire callable a due argomenti, come passthru o system, in template sandboxed per eseguire codice come utente web.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.