CVE-2026-72778 in Craft CMS
요약
\~에 의해 VulDB • 2026. 08. 11.
Craft CMS의 4.0.0-RC1부터 4.18.2 이전 버전과 5.0.0-RC1부터 5.10.6 이전 버전에는 제어판의 element-search 조건 처리 과정에서 인증된 원격 코드 실행(RCE) 취약점이 존재합니다. Craft는 Component::cleanseConfig()를 통해 외부 요청으로 제어되는 조건 배열을 정제(cleanses)하지만, Conditions::createCondition() 함수가 이후 condition.config 내의 JSON 문자열을 디코딩하고 병합할 때 디코딩된 구성에 대해 cleanseConfig()를 다시 실행하지 않습니다. 첫 번째 정제 단계에서 condition.config는 JSON 문자열이므로 Yii 특수 구성 키(예: 'as ...' 및 'on ...')가 그 안에 숨겨질 수 있으며, JSON 디코딩 후 FieldLayout 객체 생성 시 Yii에 의해 동작/이벤트 구성으로 해석됩니다. 인증된 제어판 세션과 유효한 CSRF 토큰을 가진 공격자는 이를 악용하여 PHP/웹 사용자 권한으로 운영 체제 명령어를 실행할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.