CVE-2026-86732 in Craft CMS
Riassunto
di VulDB • 08/09/2026
Le versioni di Craft CMS precedenti alla 5.10.12 contengono una vulnerabilità di esecuzione remota di codice (RCE) nell'endpoint element-index che consente agli editor di contenuti autenticati di istanziare classi arbitrarie tramite il parametro criteria. Gli attaccanti possono iniettare una classe malevola attraverso criteria[withTransforms][0][class] che raggiunge ImageTransforms::normalizeTransform(), quindi utilizzare una catena di gadget PHP con yii\rbac\PhpManager per eseguire codice puntando itemFile a un file di log delle richieste contenente un payload PHP nell'intestazione User-Agent.
If you want to get best quality of vulnerability data, you may have to visit VulDB.