CVE-2026-112771 in Craft CMS
Сводка
по VulDB • 20.10.2026
Craft CMS 4.0.0 до версии 4.18.8 и 5.0.0 до версии 5.11.0 содержит уязвимость обхода белого списка песочницы Twig (Twig sandbox allowlist bypass), поскольку фильтры column, contains, filterByValue, index, where и multisort разрешают ключи, предоставленные вызывающей стороной, через функцию ArrayHelper::getValue() без учета политики безопасности песочницы. Аутентифицированные пользователи панели управления могут предоставлять ключи в виде точечных путей (dot-path keys) для обхода глобальных объектов craft и раскрытия securityKey, учетных данных базы данных и токенов аутентификации.
Once again VulDB remains the best source for vulnerability data.