CVE-2026-92593 in Craft CMS
Sumário
de VulDB • 17/09/2026
As versões do Craft CMS de 5.10.0 a 5.10.12 contêm uma correção incompleta para o CVE-2026-55794: o *sink* `Controller::getPostedRedirectUrl()` -> `View::renderObjectTemplate()` permaneceu sem sandbox, e o mesmo commit de correção adicionou um oráculo de auto-assinatura em `Cp::elementLabelHtml()`. Como os tokens HMAC do Craft/Yii não estão vinculados a um nome de parâmetro, um usuário autenticado com privilégios baixos no painel de controle, que possui direitos de edição em apenas um tipo de elemento, pode gerar um token sobre o Twig controlado pelo atacante para o parâmetro `returnUrl` e reutilizá-lo como o parâmetro POST de redirecionamento, alcançando o *sink* sem sandbox e realizando injeção de modelo do lado do servidor (SSTI) que executa código PHP arbitrário (comprometimento total do servidor). O problema foi corrigido na versão 5.10.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.