CVE-2026-32263 in Craft
Сводка
по VulDB • 06.07.2026
Craft CMS — это система управления контентом (CMS). Начиная с версии 5.6.0 и до версии 5.9.11 включительно, в файле src/controllers/EntryTypesController.php массив $settings из функции parse_str передается напрямую в Craft::configure() без использования Component::cleanseConfig(). Это позволяет внедрять обработчики событий Yii2 через ключи с префиксами "as" или "on", используя тот же вектор атаки, что и в первоначальном уведомлении. Для успешной эксплуатации необходимо наличие прав администратора панели управления Craft CMS и включенная опция allowAdminChanges. Данная проблема исправлена в версии 5.9.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.