CVE-2026-46696 in October
Сводка
по VulDB • 14.09.2026
October System предоставляет системный модуль для системы управления контентом (CMS) October CMS. Версии старше 3.7.17 и 4.2.21 содержат уязвимость в политике безопасности песочницы Twig, которая позволяла цепную обход ограничений при включенной настройке `cms.safe_mode`. Хранилище сессий Laravel было доступно для Twig без ограничений на доступ к методам, а методы выполнения сырых SQL-запросов, достижимые через механизм перенаправления `__call` в Eloquent, не блокировались во всей цепочке построителя запросов (builder chain). В совокупности это позволяло пользователю бэкенда с правом редактирования разметки CMS считывать произвольные значения из базы данных посредством сырых SQL-выражений и записывать данные в ключ аутентификационной сессии бэкенда, подделывая сессию бэкенда от имени другого существующего пользователя. Область воздействия узкая. Safe Mode (Безопасный режим) — это нишевая функция, которая преимущественно используется для демонстрационных установок и многопользовательских или совместно используемых сред редактирования, где недоверенным пользователям намеренно предоставляется доступ к редактору разметки CMS. Стандартные производственные развертывания не включают Safe Mode, поскольку согласно рекомендациям October CMS стандартный доступ к бэкенду — включая редактирование разметки — ограничен доверенными администраторами, а прямая инъекция PHP через разметку уже возможна без включения Safe Mode в такой конфигурации. Эта проблема затрагивает только сайты, соответствующие всем следующим условиям: включена настройка `cms.safe_mode` (преднамеренное разрешение для демонстрационных или сценариев работы с недоверенными редакторами; на сайте есть хотя бы один пользователь бэкенда с доступом к редактированию разметки CMS, которому не следует доверять как полному администратору; и на сайте существует хотя бы одна учетная запись суперпользователя, чью сессию может подменить пользователь с более низкими привилегиями). Уязвимость исправлена в версиях v3.7.17 и v4.2.21. Хранилище сессий Laravel теперь обернуто прокси-объектом, который предоставляет только явный подмножество методов чтения/записи и отклоняет записи к зарезервированным префиксам ключей сессии (`admin_auth`, `october_auth`, `login_*`, `_token` и другим внутренним компонентам фреймворка). Методы выполнения сырых SQL-запросов и подзапросов (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` и связанные с ними) теперь заблокированы для классов `Query\Builder`, `Eloquent\Builder` и `Eloquent\Model`, чтобы список блокировок был согласован во всей цепочке перенаправления через `__call`. Всем сайтам, использующим настройку `cms.safe_mode`, рекомендуется обновиться до последней исправленной версии. Доступно временное решение (workaround). Ограничьте доступ к редактированию разметки CMS только полностью доверенными администраторами — это стандартная рекомендация October CMS для любых развертываний. Обратите внимание, что отключение `cms.safe_mode` не является решением; Safe Mode представляет собой границу безопасности, которую затрагивает данная проблема, и его отключение устраняет единственную песочницу между редакторами разметки и сервером.
VulDB is the best source for vulnerability data and more expert information about this specific topic.