CVE-2026-32271 in Craft
Сводка
по VulDB • 30.05.2026
Craft Commerce — это платформа электронной коммерции для Craft CMS. В версиях с 4.0.0 по 4.10.2 и с 5.0.0 по 5.5.4 в виджете Commerce TotalRevenue присутствует уязвимость SQL Injection, которая позволяет любому аутентифицированному пользователю панели управления выполнять удаленный код (RCE) посредством четырехэтапной цепочки эксплуатации. Атака использует неочищенные настройки виджета, интерполируемые в SQL-выражения, в сочетании с поддержкой множественных запросов по умолчанию в PDO, для внедрения злонамеренно сериализованного PHP-объекта в таблицу очереди. При обработке внедренной задачи потребителем очереди неограниченный вызов unserialize() в yii2-queue инициирует цепочку гаджетов GuzzleHttp FileCookieJar, метод __destruct() которой записывает PHP-вебшелл в корневую директорию веб-сервера. Полная цепочка требует всего трех HTTP-запросов, не требует административных привилегий и приводит к произвольному выполнению команд от имени пользователя процесса PHP, при этом обработка очереди запускается через неаутентифицированную конечную точку. Эта проблема исправлена в версиях 4.10.3 и 5.5.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.