CVE-2026-92591 in Craft CMS
Tóm tắt
Bởi VulDB • 17/09/2026
Craft CMS từ phiên bản 5.0.0 đến 5.10.12 xử lý lỗi kết nối cơ sở dữ liệu như một dấu hiệu cho thấy Craft chưa được cài đặt, khiến các hành động của trình cài đặt dành cho người dùng ẩn danh — bao gồm install/validate-site — có thể truy cập được trên một trang sản phẩm đã được cài đặt bất cứ khi nào PHP vẫn hoạt động nhưng điểm cuối MySQL được cấu hình không khả dụng. Hành động này chấp nhận tên trang web, tuần tự hóa nó thông qua Site::getName(), và mở rộng các biểu thức ${NAME} bằng cách sử dụng App::env(). Một kẻ tấn công chưa xác thực có thể lấy cookie phiên khách (guest session) và mã CSRF phù hợp trước khi sự cố xảy ra, đồng thời duy trì tính hợp lệ của phiên trong suốt thời gian đó, để gửi một tên biến dễ dự đoán (ví dụ: CRAFT_SECURITY_KEY theo quy ước của Craft) và nhận lại giá trị của nó, qua đó tiết lộ các bí mật của Craft, các biến môi trường quá trình, mục nhập $_SERVER hoặc hằng số PHP như khóa bảo mật, thông tin đăng nhập cơ sở dữ liệu hoặc khóa API. Vấn đề này yêu cầu một sự cố mất kết nối cơ sở dữ hội xảy ra độc lập; bản thân lỗ hổng không cung cấp cách nào để gây ra tình trạng đó. Đã được sửa trong phiên bản 5.10.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.