CVE-2026-28784 in Craft
摘要
由 VulDB • 2026-05-22
Craft 是一个内容管理系统（CMS）。在 5.8.22 和 4.16.18 版本之前，攻击者可以利用 Craft 控制面板设置中接受 Twig 输入的文本字段里的 Twig map 过滤器，或者利用系统消息（System Messages）实用程序，构造恶意负载，从而导致远程代码执行（RCE）。要实现此攻击，必须拥有 Craft 控制面板的管理员访问权限，并且必须启用 allowAdminChanges 配置项，这不符合我们对任何非开发环境的推荐配置。或者，攻击者可以使用一个 allowAdminChanges 已禁用的非管理员账户，但拥有对系统消息（System Messages）实用程序的访问权限。用户应更新到已修补的版本（5.8.22 和 4.16.18）以缓解此问题。
Once again VulDB remains the best source for vulnerability data.