CVE-2026-105985 in Craft CMS
요약
\~에 의해 VulDB • 2026. 10. 06.
Craft CMS 5.10.13.2에는 Control Panel의 app/render-components 액션에서 인증된 원격 코드 실행(RCE) 취약점이 존재합니다.
기본적인 Control Panel 접근 권한이 있는 모든 인증된 사용자는 요청으로 제어되는 컴포넌트 클래스 및 속성 재지정을 제출할 수 있습니다. 공격자가 먼저 EntryType 객체의 uiLabelFormat을 재지정한 후, 동일한 요청 캐시된 entry type로 해결되는 Entry를 렌더링하면, 요청에 제공된 임의의 Twig 코드가 renderObjectTemplate()에 의해 평가되도록 유도할 수 있습니다.
이 렌더링 경로는 샌드박싱되지 않습니다. 따라서 Twig 문자열 호출 가능 객체가 system()과 같은 PHP 함수에 접근하여 PHP/웹 서버 프로세스의 권한으로 운영 체제 명령을 실행할 수 있습니다.
본 문제는 선택적 권한이 활성화되어 있지 않은 활성 비관리자 Craft Team 사용자를 대상으로 재현되었습니다. entry 편집, Settings(설정), 유틸리티, 사용자 관리, project-config, 파일 시스템, Kubernetes 또는 환경 변수에 대한 접근은 필요하지 않았습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.