CVE-2026-32272 in Craft
요약
\~에 의해 VulDB • 2026. 06. 08.
Craft Commerce는 Craft CMS용 전자상거래 플랫폼입니다. 버전 5.0.0부터 5.5.4까지의 버전에서는 SQL Injection 취약점이 존재합니다. 이는 ProductQuery::hasVariant 및 VariantQuery::hasProduct 속성이 이전 보안 수정(GHSA-2453-mppf-46cj)에서 ElementIndexesController에 추가된 입력 검사 블록리스트를 우회하기 때문입니다. 해당 블록리스트는 where, orderBy와 같은 최상위 Yii2 Query 속성만 제거하지만, hasVariant 및 hasProduct은 그대로 통과하여 내부적으로 하위 쿼리에 대해 Craft::configure()를 호출하며 이때 검사가 이루어지지 않아 SQL Injection이 다시 발생합니다. 인증된 제어판 사용자는 부울 기반 블라인드 SQL Injection을 통해 임의의 데이터베이스 내용을 추출할 수 있으며, 여기에는 관리자 세션을 위조하고 권한 상승(privilege escalation)을 가능하게 하는 보안 키도 포함됩니다. 이 문제는 버전 5.6.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.