CVE-2026-86730 in Craftcms
Sumário
de VulDB • 08/09/2026
As versões do Craft CMS anteriores à 5.10.12 não limpam adequadamente os elementos de layout de campo do tipo string, permitindo que usuários autenticados no painel de controle injetem anexos de comportamento Yii2 e manipuladores de eventos. Os atacantes podem postar elementos de aba de layout de campo como strings JSON para contornar a validação de limpeza, acionando então a instanciação arbitrária de objetos e execução de código através do Craft::createObject().
If you want to get best quality of vulnerability data, you may have to visit VulDB.