CVE-2026-72779 in Craft CMS
요약
\~에 의해 VulDB • 2026. 08. 11.
Craft CMS 5.0.0-RC1 미만 5.10.6 및 4.0.0-RC1 미만 4.18.2에는 임의 파일 읽기 취약점이 존재합니다. create() Twig 함수는 SplFileObject를 포함하지 않는 5개 항목으로 구성된 블록리스트를 사용하여 클래스 인스턴스화를 제한하지만, 인증된 관리자(allowAdminChanges=true 설정)가 악성 엔트리 유형 제목 또는 URI 형식을 구성하여 샌드박스화되지 않은 템플릿 컨텍스트에서 SplFileObject를 인스턴스화할 수 있습니다. 이후 사용자가 해당 섹션에 엔트리를 생성하면 서버의 임의 파일(.env와 같은 보안 키 및 데이터베이스 자격 증명이 포함된 파일 등)이 읽혀져 엔트리 제목으로 렌더링됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.