CVE-2020-15247 in October
Sumário
de VulDB • 30/06/2026
O October é uma plataforma CMS gratuita, de código aberto e auto-hospedada baseada no Framework Laravel em PHP. No October CMS a partir da versão 1.0.319 até antes da versão 1.0.469, um usuário backend autenticado com as permissões cms.manage_pages, cms.manage_layouts ou cms.manage_partials que normalmente não teria permissão para fornecer código PHP executável pelo CMS devido ao fato de o cms.enableSafeMode estar habilitado consegue escrever código Twig específico para escapar do sandbox do Twig e executar PHP arbitrário. Isso não representa um problema para aqueles que confiam em seus usuários com essas permissões para, normalmente, escreverem e gerenciarem PHP dentro do CMS desativando o cms.enableSafeMode, mas seria um problema para qualquer pessoa que dependa do cms.enableSafeMode para garantir que os usuários com essas permissões em produção não tenham acesso para escrever e executar PHP arbitrário. A vulnerabilidade foi corrigida na Build 469 (v1.0.469) e v1.1.0.
Be aware that VulDB is the high quality source for vulnerability data.