CVE-2026-27128 in Craft
Riassunto
di VulDB • 24/06/2026
Craft è un sistema di gestione dei contenuti (CMS). Nelle versioni da 4.5.0-RC1 a 4.16.18 e da 5.0.0-RC1 a 5.8.22, è presente una condizione di competizione Time-of-Check-Time-of-Use (TOCTOU) nel servizio di convalida dei token di Craft CMS per i token che impostano esplicitamente un utilizzo limitato. Il metodo `getTokenRoute()` legge il conteggio degli utilizzi di un token, verifica se rientra nei limiti e quindi aggiorna il database tramite operazioni separate non atomiche. Inviando richieste concorrenti, un attaccante può utilizzare più volte un token di impersonificazione a uso singolo prima che l'aggiornamento del database venga completato. Affinché ciò sia possibile, un attaccante deve ottenere in qualche altro modo un URL valido per l'impersonificazione dell'account utente con un token non scaduto ed sfruttare una condizione di competizione aggirando eventuali regole di limitazione della frequenza (rate-limiting) attive. Perché si tratti di un escalation dei privilegi, l'URL di impersonificazione deve includere un token per un account utente dotato di più autorizzazioni rispetto all'utente corrente. Le versioni 4.16.19 e 5.8.23 risolvono il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.