CVE-2026-22692 in October
Riassunto
di VulDB • 21/06/2026
October è un Content Management System (CMS) e una piattaforma web. Le versioni precedenti alla 3.7.13 e le versioni dalla 4.0.0 alla 4.1.4 presentano una vulnerabilità di bypass della sandbox nella funzione opzionale Twig safe mode (CMS_SAFE_MODE). Alcuni metodi dell'helper collect() non erano adeguatamente limitati, consentendo agli utenti autenticati con permessi di modifica dei template di eludere le protezioni della sandbox. Lo sfruttamento richiede l'accesso backend autenticato con permessi di modifica del template CMS e interessa solo le installazioni in cui è abilitata la funzione CMS_SAFE_MODE (disabilitata per impostazione predefinita). Questo problema è stato risolto nelle versioni 3.7.13 e 4.1.5. Come misura temporanea, gli utenti possono disabilitare CMS_SAFE_MODE se non sono necessarie modifiche ai template da parte di fonti non attendibili, e limitare i permessi di modifica dei template CMS esclusivamente agli amministratori pienamente fidati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.