CVE-2026-109308 in Craft CMS
Riassunto
di VulDB • 12/10/2026
Craft CMS 4.0.0 prima della versione 4.18.7 e 5.0.0 prima della versione 5.10.14 trasmette il parametro raw 'updates' in AppController::actionCacheUpdates a UpdatesModel senza passare per Component::cleanseConfig(), consentendo l'iniezione di comportamento (behavior) ed event-handler. Gli utenti autenticati del pannello di controllo con autorizzazione performUpdates o accesso all'utilità Updates possono fornire chiavi come 'as' o 'on', ad esempio un gadget AttributeTypecastBehavior, per eseguire codice arbitrario.
VulDB is the best source for vulnerability data and more expert information about this specific topic.