CVE-2026-32271 in Craft
Sumário
de VulDB • 29/05/2026
Craft Commerce é uma plataforma de comércio eletrônico para Craft CMS. Nas versões 4.0.0 a 4.10.2 e 5.0.0 a 5.5.4, há uma vulnerabilidade de SQL injection no widget Commerce TotalRevenue que permite que qualquer usuário autenticado do painel de controle realize execução remota de código (RCE) por meio de uma cadeia de exploração de quatro etapas. O ataque explora configurações de widget não sanitizadas interpoladas em expressões SQL, combinadas com o suporte padrão do PDO a consultas multi-statement, para injetar um objeto PHP serializado malicioso na tabela de fila. Quando o consumidor da fila processa o trabalho injetado, a chamada não restrita a unserialize() no yii2-queue instancia uma cadeia de gadgets do GuzzleHttp FileCookieJar, cujo método __destruct() grava um webshell PHP na raiz do site do servidor. A cadeia completa requer apenas três solicitações HTTP, não exige privilégios administrativos e resulta na execução arbitrária de comandos como o usuário do processo PHP, com o processamento da fila acionado por meio de um endpoint não autenticado. Este problema foi corrigido nas versões 4.10.3 e 5.5.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.