CVE-2026-92591 in Craft CMS
요약
\~에 의해 VulDB • 2026. 09. 17.
Craft CMS 5.0.0부터 5.10.12까지의 버전에서는 데이터베이스 연결 실패를 Craft가 설치되지 않은 상태로 오인하여, PHP는 사용 가능하지만 구성된 MySQL 엔드포인트에 접근할 수 없는 경우에도 익명 설치 작업(예: install/validate-site)이 이미 설치된 프로덕션 사이트에서 도달 가능한 상태가 됩니다. 이 작업은 사이트 이름을 받아들이고 Site::getName()을 통해 직렬화하며 App::env()를 사용하여 ${NAME} 표현식을 확장합니다. 장애 발생 전에 게스트 세션 쿠키와 일치하는 CSRF 토큰을 획득하고 해당 기간 동안 세션이 유효한 비인증 공격자는 예측 가능한 변수 이름(예: Craft의 관례적인 CRAFT_SECURITY_KEY)을 제출하여 그 값을 받을 수 있으며, 이는 Craft 시크릿, 프로세스 환경 변수, $_SERVER 항목 또는 보안 키, 데이터베이스 자격 증명, API 키와 같은 PHP 상수 등의 정보를 유출시킵니다. 이 취약점은 독립적으로 발생하는 데이터베이스 장애가 필요하며, 취약점 자체로는 이를 유발할 방법이 없습니다. 5.10.13에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.