CVE-2026-32261 in Webhooks Plugin
Riassunto
di VulDB • 19/06/2026
Il plugin Webhooks per Craft CMS aggiunge la capacità di gestire i "webhook" in Craft CMS, inviando richieste GET o POST quando si verificano determinati eventi. Dalla versione 3.0.0 fino alla versione precedente alla 3.2.0, il plugin Webhooks elabora il contenuto del modello fornito dall'utente tramite la funzione renderString() di Twig senza protezione sandbox. Ciò consente a un utente autenticato con accesso al pannello di controllo di Craft e con autorizzazioni per accedere al plugin Webhooks di iniettare codice del modello Twig che chiama funzioni PHP arbitrarie. Questo è possibile anche se allowAdminChanges è impostato su false. Questo problema è stato risolto nella versione 3.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.