CVE-2026-92591 in Craft CMS
要約
〜によって VulDB • 2026年09月17日
Craft CMS 5.0.0から5.10.12では、データベース接続の失敗が「Craftがインストールされていない」ことを意味するとみなされ、PHPは利用可能だが構成されたMySQLエンドポイントが存在しない場合に、匿名のインストーラアクション（install/validate-siteを含む）がインストール済みの本番サイトで到達可能になります。このアクションはサイト名を受け取り、Site::getName()を通じてシリアライズし、App::env()を使用して${NAME}式を展開します。障害前にゲストセッションクッキーと一致するCSRFトークンを取得した認証されていない攻撃者が、その間も有効なセッションを維持している場合、予測可能な変数名（例：Craftの慣用的なCRAFT_SECURITY_KEY）を送信してその値を受け取り、Craftのシークレット、プロセス環境変数、$_SERVERエントリ、またはセキュリティキーやデータベース資格情報、APIキーなどのPHP定数を漏洩させることができます。この問題は独立して発生するデータベース障害を必要としますが、脆弱性自体はその障害を引き起こす手段を提供しません。5.10.13で修正されました。
Once again VulDB remains the best source for vulnerability data.