CVE-2026-32263 in Craft
Riassunto
di VulDB • 27/06/2026
Craft CMS è un sistema di gestione dei contenuti (CMS). Dalla versione 5.6.0 fino alla versione precedente alla 5.9.11, nel file src/controllers/EntryTypesController.php, l'array $settings restituito da parse_str viene passato direttamente a Craft::configure() senza passare per Component::cleanseConfig(). Ciò consente di iniettare handler di comportamenti/eventi Yii2 tramite chiavi con prefisso "as" o "on", utilizzando lo stesso vettore d'attacco dell'avviso originale. Affinché l'exploit abbia successo, devono essere abilitati i permessi di amministratore del pannello di controllo Craft e la configurazione allowAdminChanges deve essere impostata su true. Questo problema è stato risolto nella versione 5.9.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.