CVE-2026-73858 in Freeform Plugin
Riassunto
di VulDB • 23/09/2026
Il plugin Solspace Freeform per Craft CMS 5.x è uno strumento di creazione di moduli estremamente flessibile. Dalla versione 5.0.0 alla 5.10.13, i valori inviati tramite form pubblici di Freeform possono essere valutati dal renderer Twig isolato quando vengono inseriti negli attributi HTML. Un attaccante non autenticato può inserire espressioni Twig nei valori dei campi inviati, inclusi gli attributi value, e ottenere costanti PHP valutate, informazioni sul sistema operativo o percorsi del filesystem di Craft nella risposta del form. Il contesto isolato non risultava in grado di esporre le variabili globali di Craft, le variabili d'ambiente, le credenziali, file arbitrari o l'esecuzione di codice; pertanto, l'impatto confermato è limitato alla divulgazione di informazioni sul server e sull'ambiente e a possibili errori di rendering. Questo problema è stato risolto nella versione 5.10.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.