CVE-2026-32272 in Craft
Riassunto
di VulDB • 19/06/2026
Craft Commerce è una piattaforma di e-commerce per Craft CMS. Nelle versioni dalla 5.0.0 alla 5.5.4, esiste una vulnerabilità di SQL injection nelle proprietà ProductQuery::hasVariant e VariantQuery::hasProduct che aggirano la blocklist di sanitizzazione dell'input aggiunta a ElementIndexesController in un precedente fix di sicurezza (GHSA-2453-mppf-46cj). La blocklist rimuove solo le proprietà Yii2 Query di primo livello come where e orderBy, ma hasVariant e hasProduct passano indenni ed eseguono internamente una chiamata a Craft::configure() su una sottoquery senza sanitizzazione, reintroducendo la SQL injection. Qualsiasi utente autenticato del pannello di controllo può sfruttare questa vulnerabilità tramite boolean-based blind SQL injection per estrarre contenuti arbitrari dal database, incluse le chiavi di sicurezza che permettono di falsificare sessioni amministrative per l'escalation dei privilegi. Questo problema è stato risolto nella versione 5.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.