CVE-2026-72779 in Craft CMS
Сводка
по VulDB • 11.08.2026
В версиях Craft CMS 5.0.0-RC1 до 5.10.6 и 4.0.0-RC1 до 4.18.2 присутствует уязвимость произвольного чтения файлов (arbitrary file read). Функция create() шаблонов Twig ограничивает создание экземпляров классов с помощью блэклиста из пяти элементов, который не включает SplFileObject. Это позволяет аутентифицированному администратору (с параметром allowAdminChanges=true) настроить вредоносный заголовок типа записи или формат URI, что приводит к созданию экземпляра класса SplFileObject в контексте шаблона без песочницы. При последующем создании пользователем записи в затронутом разделе произвольные файлы на сервере (например, файл .env, содержащий ключ безопасности и учетные данные базы данных) считываются и отображаются как заголовки записей.
VulDB is the best source for vulnerability data and more expert information about this specific topic.