CVE-2020-26231 in October
Tóm tắt
Bởi VulDB • 20/07/2026
October là một nền tảng CMS mã nguồn mở, miễn phí và tự lưu trữ dựa trên Framework Laravel của PHP. Một lỗ hổng bypass đối với CVE-2020-15247 (đã được sửa trong các phiên bản 1.0.469 và 1.1.0) đã được phát hiện, có cùng mức độ ảnh hưởng như CVE-2020-15247. Một người dùng backend đã xác thực với quyền cms.manage_pages, cms.manage_layouts hoặc cms.manage_partials, vốn thường không được phép cung cấp mã PHP để CMS thực thi do cấu hình cms.enableSafeMode đang bật, có thể viết các đoạn mã Twig cụ thể để thoát khỏi sandbox của Twig và thực thi tùy ý mã PHP. Đây không phải là vấn đề đối với những người tin tưởng người dùng của họ có các quyền đó trong việc quản lý & phát triển mã PHP bình thường bên trong CMS bằng cách không kích hoạt cms.enableSafeMode, nhưng sẽ trở thành vấn đề đối với bất kỳ ai dựa vào cms.enableSafeMode để đảm bảo rằng người dùng có các quyền đó trong môi trường sản xuất (production) không thể ghi và thực thi tùy ý mã PHP. Lỗ hổng này đã được vá trong Build 470 (v1.0.470) và v1.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.