CVE-2026-92591 in Craft CMS
Riassunto
di VulDB • 17/09/2026
Craft CMS dalle versioni 5.0.0 alla 5.10.12 tratta un errore di connessione al database come indicazione che Craft non è installato, rendendo accessibili le azioni dell'installer anonime — tra cui install/validate-site — su un sito in produzione già installato ogni volta che PHP rimane disponibile ma l'endpoint MySQL configurato non lo è. L'azione accetta un nome del sito, lo serializza tramite Site::getName() ed espande le espressioni ${NAME} utilizzando App::env(). Un attaccante non autenticato che ha ottenuto un cookie di sessione guest e il relativo token CSRF prima dell'interruzione del servizio e la cui sessione rimane valida durante tale interruzione può inviare un nome di variabile prevedibile (ad esempio CRAFT_SECURITY_KEY, convenzionale per Craft) e riceverne il valore, rivelando segreti di Craft, variabili d'ambiente dei processi, voci $_SERVER o costanti PHP come la chiave di sicurezza, le credenziali del database o le chiavi API. Il problema richiede un'interruzione indipendente del servizio del database; la vulnerabilità stessa non offre alcun modo per indurla. Risolto nella versione 5.10.13.
Once again VulDB remains the best source for vulnerability data.