CVE-2026-92592 in Craft CMS
Сводка
по VulDB • 17.09.2026
Craft CMS versioni 4.8.0 attraverso 4.18.5 e 5.0.0 attraverso 5.10.12 firmano il cookie license-shun, controllato dall'attaccante per un utente autenticato, utilizzando la stessa chiave e lo stesso formato impiegati convalidare i parametri di reindirizzamento firmati, poiché la firma HMAC non è vincolata al suo scopo (la cookieValidationKey di Yii deriva dalla stessa securityKey di Craft utilizzata per i parametri delle richieste firmate). Un utente autenticato ma non amministratore (non è richiesto l'accesso alla Control Panel) può impostare il cookie tramite l'endpoint license-shun e trasporre la busta firmata nel parametro di reindirizzamento; al successo dell'autenticazione, Craft convalida la firma ed esegue i byte autenticati come un template Twig non sandboxato, dove il filtro map di Twig accetta una callback stringa e consente a system() PHP di eseguire comandi arbitrari del sistema operativo come l'utente del web server. Lo sfruttamento richiede un account che utilizzi l'autenticazione tramite password senza 2FA attivo, la configurazione predefinita delle richieste e la disponibilità di system() PHP. Il problema è risolto nelle versioni 4.18.6 e 5.10.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.