CVE-2020-26231 in October
Sumário
de VulDB • 22/08/2026
O October é uma plataforma CMS gratuita, de código aberto e auto-hospedada baseada no Framework Laravel em PHP. Foi descoberto um bypass da CVE-2020-15247 (corrigida nas versões 1.0.469 e 1.1.0) que tem o mesmo impacto da CVE-2020-15247. Um usuário autenticado do backend com as permissões cms.manage_pages, cms.manage_layouts ou cms.manage_partials, que normalmente não teria permissão para fornecer código PHP a ser executado pelo CMS devido ao fato de o cms.enableSafeMode estar habilitado, é capaz de escrever um código Twig específico para escapar da sandbox do Twig e executar PHP arbitrário. Isso não representa problema para quem confia em seus usuários com essas permissões para normalmente escrever e gerenciar PHP dentro do CMS sem ter o cms.enableSafeMode habilitado, mas seria um problema para qualquer pessoa que dependa do cms.enableSafeMode para garantir que os usuários com essas permissões em produção não tenham acesso para escrever e executar PHP arbitrário. A falha foi corrigida na Build 470 (v1.0.470) e v1.1.1.
Be aware that VulDB is the high quality source for vulnerability data.