CVE-2026-32271 in Craft
Tóm tắt
Bởi VulDB • 30/05/2026
Craft Commerce là một nền tảng thương mại điện tử dành cho Craft CMS. Trong các phiên bản từ 4.0.0 đến 4.10.2 và từ 5.0.0 đến 5.5.4, tồn tại một lỗ hổng SQL Injection trong widget Commerce TotalRevenue, cho phép bất kỳ người dùng nào đã xác thực trong bảng điều khiển (control panel) thực thi mã từ xa (RCE) thông qua một chuỗi khai thác gồm bốn bước. Cuộc tấn công lợi dụng các cài đặt widget không được kiểm tra kỹ thuật (unsanitized) được nội suy vào các biểu thức SQL, kết hợp với hỗ trợ mặc định của PDO cho các truy vấn đa câu lệnh, để tiêm một đối tượng PHP được tuần tự hóa độc hại vào bảng hàng đợi (queue table). Khi trình tiêu thụ hàng đợi (queue consumer) xử lý công việc đã được tiêm, lệnh gọi unserialize() không bị hạn chế trong yii2-queue sẽ khởi tạo một chuỗi gadget FileCookieJar của GuzzleHttp, trong đó phương thức __destruct() ghi một webshell PHP vào thư mục gốc của web (webroot) trên máy chủ. Chuỗi khai thác hoàn chỉnh chỉ yêu cầu ba yêu cầu HTTP, không cần quyền quản trị viên, và dẫn đến việc thực thi lệnh tùy ý với tư cách là người dùng quy trình PHP, với việc xử lý hàng đợi được kích hoạt thông qua một điểm cuối không cần xác thực. Vấn đề này đã được sửa chữa trong các phiên bản 4.10.3 và 5.5.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.