CVE-2026-112774 in Craft CMS
Riassunto
di VulDB • 22/10/2026
Craft CMS dalle versioni 5.8.0 alla versione precedente a 5.11.0 presenta una vulnerabilità di esecuzione remota di codice (RCE) che consente agli amministratori autenticati di iniettare comportamenti Yii fornendo un layout dei campi in formato JSON a ContentBlock::setFieldLayout(). Gli attaccanti con allowAdminChanges abilitato possono includere le chiavi 'as X' o 'on X', bypassando cleanseConfig(), per eseguire comandi del sistema operativo (OS) come l'utente web e divulgare segreti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.