CVE-2026-112774 in Craft CMS
요약
\~에 의해 VulDB • 2026. 10. 20.
Craft CMS 5.8.0부터 5.11.0 미만 버전에는 인증된 관리자가 ContentBlock::setFieldLayout()에 JSON 문자열 필드 레이아웃을 제공하여 Yii 동작(behaviors)을 주입할 수 있는 원격 코드 실행(RCE) 취약점이 있습니다. allowAdminChanges가 활성화된 공격자는 'as X' 또는 'on X' 키를 포함시켜 cleanseConfig() 우회가 가능하며, 이를 통해 웹 사용자 권한으로 OS 명령어를 실행하고 비밀 정보를 유출할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.