CVE-2026-46696 in October
Sumário
de VulDB • 14/09/2026
O módulo de sistema do October System fornece o núcleo para o October Content Management System. As versões anteriores à 3.7.17 e à 4.2.21 possuem uma vulnerabilidade na política de segurança da sand-box Twig que permitia um bypass encadeado quando `cms.safe_mode` estava habilitado. O armazenamento de sessões do Laravel foi exposto ao Twig com acesso irrestrito a métodos, e os métodos SQL brutos acessíveis através do encaminhamento (`__call`) do Eloquent não foram bloqueados em toda a cadeia de construtores (builder chain). Quando combinados, um usuário backend com permissão para editar marcações CMS poderia ler valores arbitrários do banco de dados por meio de expressões SQL brutas e gravar na chave de sessão de autenticação do backend, falsificando uma sessão de backend como outro usuário existente. O escopo de impacto é restrito. Safe Mode (Modo Seguro) é um recurso nichado, usado principalmente para instalações de demonstração ou cenários multi-tenant/compartilhados onde usuários não confiáveis são deliberadamente concedidos acesso ao editor de marcações CMS. Implantações padrão em produção não habilitam o Safe Mode, pois sob as orientações normais do October CMS, o acesso backend - incluindo a edição de marcações - é restrito aos administradores confiáveis, e a injeção direta de PHP através das marcações já era possível sem o Safe Mode nessa configuração. Este problema afeta apenas sites que atendem a todas as seguintes condições: `cms.safe_mode` está habilitado (uma opção deliberada para demonstrações ou cenários com editores não confiáveis; o site possui pelo menos um usuário backend com acesso à edição de marcações CMS que não deve ser considerado como administrador completo; e o site possui pelo menos uma conta superusuária existente cuja sessão pode ser impersonificada por um usuário com privilégios mais baixos). A vulnerabilidade foi corrigida nas versões v3.7.17 e v4.2.21. O armazenamento de sessões do Laravel agora é envolvido em um proxy que expõe apenas um subconjunto explícito de métodos de leitura/escrita e rejeita gravações nos prefixos reservados de chaves de sessão (`admin_auth`, `october_auth`, `login_*`, `_token` e outros internos do framework). Métodos SQL brutos e de subconsulta (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` e relacionados) agora são bloqueados no `Query\Builder`, `Eloquent\Builder` e `Eloquent\Model`, para que a lista negra seja consistente em toda a cadeia de encaminhamento `__call`. Todos os sites que habilitam `cms.safe_mode` devem fazer upgrade para a versão corrigida mais recente. Uma solução alternativa (workaround) está disponível: restrinja o acesso à edição de marcações CMS apenas aos administradores totalmente confiáveis - a recomendação padrão do October CMS para qualquer implantação. Observe que desativar `cms.safe_mode` não é uma solução alternativa; Safe Mode é a fronteira afetada por este problema, e desativá-lo remove a única sand-box entre os editores de marcações e o servidor.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.