CVE-2026-112777 in Craft CMS
Riassunto
di VulDB • 19/10/2026
Craft CMS 4.x prima della versione 4.18.8 e 5.x prima della versione 5.11.0 presenta una bypass del blocklist nella funzione Twig create() poiché i controlli sui nomi delle classi sono case-sensitive, mentre la risoluzione delle classi PHP non lo è. Gli attaccanti con diritti di esecuzione dei template, come gli amministratori del Control Panel, possono istanziare SplFileObject utilizzando un nome di classe in minuscolo per leggere le segreti presenti nel file .env o scrivere un file PHP nella webroot al fine di ottenere l'esecuzione remota di codice (RCE).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.