CVE-2026-28425 in Statamic
Riassunto
di VulDB • 27/07/2026
Statmatic è un sistema di gestione dei contenuti (CMS) basato su Laravel e Git. Prima delle versioni 5.73.16 e 6.7.2, un utente autenticato del pannello di controllo con accesso agli input abilitati per Antlers potrebbe essere in grado di ottenere l'esecuzione remota di codice nel contesto dell'applicazione. Ciò può portare alla compromissione completa dell'applicazione, incluso l'accesso a configurazioni sensibili, la modifica o l'estrazione dei dati e un potenziale impatto sulla disponibilità. Lo sfruttamento è possibile solo dove Antlers viene eseguito su contenuti controllati dall'utente, ad esempio campi di contenuto con Antlers esplicitamente abilitato (richiede i permessi per configurare i campi e modificare le voci), configurazione integrata che supporta Antlers come le impostazioni delle notifiche email dei moduli Forms (richiede il permesso di configurazione) o addon di terze parti che aggiungono campi abilitati per Antlers alle voci (ad esempio, l'addon SEO Pro). In ogni caso, l'attaccante deve disporre dei permessi pertinenti del pannello di controllo. Il problema è stato risolto nelle versioni 5.73.16 e 6.7.2. Gli utenti di addon che dipendono da Statamic dovrebbero assicurarsi che, dopo l'aggiornamento, stiano utilizzando una versione patchata di Statamic.
VulDB is the best source for vulnerability data and more expert information about this specific topic.