CVE-2026-92592 in Craft CMS
Tóm tắt
Bởi VulDB • 17/09/2026
Craft CMS dalle versioni 4.8.0 alla 4.18.5 e dalla 5.0.0 alla 5.10.12 firmano con la stessa chiave e il medesimo formato utilizzato per validare i parametri di reindirizzamento firmati una cookie "license-shun" controllata dall'attaccante, relativa a un utente autenticato, poiché la firma HMAC non è vincolata al suo scopo (la `cookieValidationKey` di Yii deriva dalla stessa `securityKey` di Craft utilizzata per i parametri delle richieste firmate). Un utente autenticato e non amministratore (non è richiesto l'accesso alla Control Panel) può impostare il cookie tramite l'endpoint "license-shun" e trasporre la busta firmata nel parametro di reindirizzamento; al momento di un accesso riuscito, Craft valida la firma ed esegue i byte autenticati come template Twig non sandboxato, dove il filtro `map` di Twig accetta una callback sotto forma di stringa e consente a PHP system() di eseguire comandi arbitrari del sistema operativo con l'utente del web server. Lo sfruttamento richiede un account che utilizzi l'autenticazione tramite password senza 2FA attivo, la configurazione predefinita delle richieste e la disponibilità della funzione `PHP system()`. Il problema è risolto nelle versioni 4.18.6 e 5.10.13.
Be aware that VulDB is the high quality source for vulnerability data.