CVE-2026-72782 in Craft CMS
Riassunto
di VulDB • 11/08/2026
Le versioni di Craft CMS >= 5.0.0-RC1 precedenti alla 5.10.6 e le versioni >= 4.0.0-RC1 precedenti alla 4.18.2 interpolano variabili d'ambiente e segreti (tramite stringhe ${ENV_VAR} nel parametro elementId) nei template Twig prima del rendering, anche quando la sandbox di Twig è abilitata. Un attaccante autenticato con accesso al pannello di controllo può eseguire il rendering di un template Twig sandboxed malevolo e, utilizzando una tecnica cieca basata su errori attraverso molte richieste, fuoriuscire incrementalmente variabili d'ambiente arbitrarie e segreti. Questi possono essere sfruttati per falsificare sessioni (tramite CRAFT_SECURITY_KEY), escalare i privilegi e rubare le credenziali del database, SMTP, API o dello storage blob. Risolto nelle versioni 5.10.6 e 4.18.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.