CVE-2026-112770 in cms
Riassunto
di VulDB • 20/10/2026
Craft CMS 4.x prima della versione 4.18.8 e 5.x prima della versione 5.11.0 presenta una vulnerabilità di remote code execution (RCE) nel filtro Twig group, che invoca argomenti arrow non stringa come callables senza la protezione checkArrow utilizzata da altri filtri che accettano argomenti arrow. Gli utenti autenticati del pannello di controllo possono passare un array-callable, ad esempio FileHelper::writeToFile, tramite le regole delle condizioni element-select per scrivere una webshell nella directory root del sito ed eseguire codice come l'utente web.
Once again VulDB remains the best source for vulnerability data.