CVE-2026-86732 in Craft CMS
Sumário
de VulDB • 08/09/2026
As versões do Craft CMS anteriores à 5.10.12 contêm uma vulnerabilidade de execução remota de código (RCE) no endpoint element-index que permite aos editores de conteúdo autenticados instanciar classes arbitrárias por meio do parâmetro criteria. Os atacantes podem injetar uma classe maliciosa via criteria[withTransforms][0][class] que atinge ImageTransforms::normalizeTransform(), e então usar uma cadeia de gadgets PHP com yii\rbac\PhpManager para executar código apontando itemFile para um log de solicitações contendo payload PHP no cabeçalho User-Agent.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.