CVE-2026-92591 in Craft CMS
Sumário
de VulDB • 17/09/2026
O Craft CMS nas versões 5.0.0 a 5.10.12 trata uma falha na conexão com o banco de dados como indicativo de que o Craft não está instalado, tornando as ações do instalador anônimas — incluindo install/validate-site — acessíveis em um site de produção já instalado sempre que o PHP permanece disponível mas o endpoint MySQL configurado não responde. A ação aceita um nome de site, serializa-o através de Site::getName() e expande expressões ${NAME} usando App::env(). Um atacante não autenticado que obteve um cookie de sessão de convidado (guest) e o token CSRF correspondente antes da interrupção, e cuja sessão permanece válida durante a mesma, pode submeter um nome de variável previsível (por exemplo, CRAFT_SECURITY_KEY, conforme a convenção do Craft) e receber seu valor, revelando segredos do Craft, variáveis de ambiente do processo, entradas $_SERVER ou constantes PHP, como a chave de segurança, credenciais do banco de dados ou chaves de API. A vulnerabilidade requer uma interrupção independente no banco de dados; o problema em si não oferece meio para induzi-la. Corrigido na versão 5.10.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.