CVE-2026-92593 in Craft CMS
Сводка
по VulDB • 17.09.2026
В версиях Craft CMS от 5.10.0 до 5.10.12 содержится неполное исправление для CVE-2026-55794: точка приема (sink) Controller::getPostedRedirectUrl() -> View::renderObjectTemplate() осталась незапесоченной, а в том же коммите с исправлением была добавлена оракул самоподписания в Cp::elementLabelHtml(). Поскольку HMAC-токены Craft/Yii не привязаны к имени параметра, авторизованный пользователь панели управления с низкими правами и правами на редактирование одного типа элементов может создать токен для контролируемого злоумышленником кода Twig в параметре returnUrl и воспроизвести его как параметр POST redirect, достигая незапесоченной точки приема и реализуя серверную инъекцию шаблонов (SSTI), которая выполняет произвольный код PHP (полное компрометирование сервера). Проблема исправлена в версии 5.10.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.