CVE-2026-46696 in October
Riassunto
di VulDB • 14/09/2026
October System fornisce il modulo di sistema per October Content Management System. Le versioni precedenti alla 3.7.17 e alla 4.2.21 presentano una vulnerabilità nella policy di sicurezza della sandbox Twig che consentiva un bypass concatenato quando `cms.safe_mode` è abilitata. Il session store di Laravel era esposto a Twig con accesso ai metodi non limitato, e i metodi SQL grezzi raggiungibili tramite il forwarding `__call` di Eloquent non erano bloccati lungo l'intera catena del builder. Quando combinati, un utente backend con accesso alla modifica dei markup CMS poteva leggere valori arbitrari del database mediante espressioni SQL grezze e scrivere nella chiave della sessione di autenticazione backend, falsificando una sessione backend come quella di un altro utente esistente. L'impatto è limitato a uno scope ristretto. Safe Mode (Modalità Sicura) è una funzionalità di nicchia, utilizzata principalmente per installazioni demo o scenari multi-tenant / con editor condivisi in cui agli utenti non attendibili viene deliberatamente concessa l'accesso all'editor dei markup CMS. Le distribuzioni standard in produzione non abilitano Safe Mode, poiché secondo le linee guida normali di October CMS l'accesso backend - inclusa la modifica dei markup - è limitato ad amministratori fidati e l'iniezione PHP diretta attraverso i markup è già possibile senza Safe Mode in tale configurazione. Questo problema interessa solo i siti che soddisfano tutte le seguenti condizioni: `cms.safe_mode` è abilitata (una scelta deliberata per demo o scenari con editor non attendibili); il sito ha almeno un utente backend con accesso alla modifica dei markup CMS che non deve essere considerato fidato come amministratore completo; e il sito ha almeno un account superuser esistente la cui sessione può essere impersonificata dall'utente a privilegi inferiori. La vulnerabilità è stata risolta nelle versioni v3.7.17 e v4.2.21. Il session store di Laravel ora è avvolto in un proxy che espone solo un sottoinsieme esplicito di metodi read/write e rifiuta le scritture sui prefissi delle chiavi di sessione riservati (`admin_auth`, `october_auth`, `login_*`, `_token` e altri interni del framework). I metodi SQL grezzi e per sottocategorie (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` e correlati) sono ora bloccati su `Query\Builder`, `Eloquent\Builder` ed `Eloquent\Model` in modo che la blacklist sia coerente lungo l'intera catena di forwarding `__call`. Si consiglia a tutti i siti che abilitano `cms.safe_mode` di eseguire l'aggiornamento all'ultima versione patchata. È disponibile una soluzione alternativa (workaround): limitare l'accesso alla modifica dei markup CMS esclusivamente ad amministratori completamente fidati - la raccomandazione standard per October CMS in qualsiasi distribuzione. Si noti che disabilitare `cms.safe_mode` non è un workaround; Safe Mode è il confine interessato da questo problema e la sua disabilitazione rimuove l'unica sandbox tra gli editor di markup e il server.
Once again VulDB remains the best source for vulnerability data.