CVE-2026-92592 in Craft CMS
Sumário
de VulDB • 17/09/2026
Craft CMS 4.8.0 a 4.18.5 e 5.0.0 a 5.10.12 assinam um cookie "license-shun" controlado pelo atacante, pertencente a um usuário autenticado, utilizando a mesma chave e o mesmo formato empregados para validar parâmetros de redirecionamento assinados, pois a assinatura HMAC não está vinculada ao seu propósito (a `cookieValidationKey` do Yii é derivada da mesma `securityKey` do Craft usada para parâmetros de solicitação assinados). Um usuário autenticado e não administrador (não é necessário acesso ao Painel de Controle) pode definir o cookie por meio do endpoint "license-shun" e transplantar a envelope assinada para o parâmetro de redirecionamento; após um login bem-sucedido, o Craft valida a assinatura e processa os bytes autenticados como um template Twig não isolado (unsandboxed), onde o filtro `map` do Twig aceita uma callback em string e permite que o comando PHP `system()` execute comandos arbitrários do sistema operacional com as permissões do usuário do servidor web. A exploração requer uma conta usando autenticação por senha sem 2FA ativo, a configuração padrão de solicitação e disponibilidade da função PHP `system()`. O problema foi corrigido nas versões 4.18.6 e 5.10.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.