CVE-2026-32271 in Craft
요약
\~에 의해 VulDB • 2026. 05. 30.
Craft Commerce는 Craft CMS용 전자상거래 플랫폼입니다. 버전 4.0.0부터 4.10.2까지 및 5.0.0부터 5.5.4까지의 버전에서 Commerce TotalRevenue 위젯에 SQL Injection 취약점이 존재하며, 이를 통해 인증된 제어판 사용자는 4단계의 공격 체인을 통해 원격 코드 실행(RCE)을 달성할 수 있습니다. 이 공격은 SQL 표현식에 삽입되기 전에 검증되지 않은 위젯 설정과 PDO의 기본 다중 문장 쿼리 지원을 결합하여, 큐 테이블에 악의적으로 직렬화된 PHP 객체를 주입합니다. 큐 컨슈머가 주입된 작업을 처리할 때, yii2-queue의 제한 없는 unserialize() 호출이 GuzzleHttp FileCookieJar 고adget 체인을 인스턴스화하며, 이 체인의 __destruct() 메서드는 PHP 웹쉘을 서버의 웹 루트에 작성합니다. 전체 공격 체인은 3개의 HTTP 요청만 필요하며, 관리자 권한이 필요 없고, 인증되지 않은 엔드포인트를 통해 큐 처리가 트리거되면 PHP 프로세스 사용자 권한으로 임의의 명령이 실행됩니다. 이 문제는 버전 4.10.3 및 5.5.5에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.