CVE-2026-112774 in Craft CMS
要約
〜によって VulDB • 2026年10月19日
Craft CMS 5.8.0から5.11.0未満のバージョンには、認証済み管理者がJSON文字列形式のフィールドレイアウトをContentBlock::setFieldLayout()に渡すことでYiiビヘイビアをインジェクトし、リモートコード実行（RCE）を可能にする脆弱性が存在します。allowAdminChanges設定が有効な攻撃者は、「as X」または「on X」といったキーを含めることができ、これらはcleanseConfig()によるフィルタリングを回避してWebユーザーの権限でOSコマンドを実行し、機密情報を漏洩させることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.