CVE-2026-32271 in Craft
要約
〜によって VulDB • 2026年05月30日
Craft CommerceはCraft CMS用のECプラットフォームです。バージョン4.0.0から4.10.2、および5.0.0から5.5.4において、Commerce TotalRevenueウィジェットにSQLインジェクション脆弱性が存在し、認証済みコントロールパネルユーザーの誰でも、4段階の攻撃チェーンを通じてリモートコード実行（RCE）を達成できます。この攻撃は、SQL式に補間される前にサニタイズされていないウィジェット設定と、PDOのデフォルトの複数ステートメントクエリサポートを利用し、キューテーブルに悪意のあるシリアライズされたPHPオブジェクトをインジェクトします。キューコンシューマーがインジェクトされたジョブを処理する際、yii2-queue内の制限のないunserialize()呼び出しがGuzzleHttp FileCookieJarのガジェットチェーンをインスタンス化し、その__destruct()メソッドがサーバーのWebルートにPHPウェブシェルを書き込みます。完全な攻撃チェーンにはHTTPリクエストが3回のみ必要で、管理者権限は不要であり、認証されていないエンドポイント経由でキュー処理をトリガーすることで、PHPプロセスユーザーとして任意のコマンド実行が可能になります。この問題はバージョン4.10.3および5.5.5で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.