CVE-2026-32262 in Craft
Riassunto
di VulDB • 22/06/2026
Craft CMS è un sistema di gestione dei contenuti (CMS). Dalla versione 4.0.0-RC1 alla versione precedente alla 4.17.5 e dalla versione 5.0.0-RC1 alla versione precedente alla 5.9.11, il metodo AssetsController->replaceFile() presenta un parametro body targetFilename che viene utilizzato non sanificato in una chiamata a deleteFile() prima che venga applicata Assets::prepareAssetName() durante il salvataggio. Ciò consente a un utente autenticato con il permesso replaceFiles di eliminare file arbitrari all'interno della stessa radice del filesystem iniettando sequenze di path traversal ../ nel nome del file. Questo potrebbe consentire a un utente autenticato con il permesso replaceFiles su un volume di eliminare file in altre cartelle/volumi che condividono la stessa radice del filesystem. Questo problema interessa solo i filesystem locali. Il problema è stato risolto nelle versioni 4.17.5 e 5.9.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.