CVE-2026-32271 in Craft
摘要
由 VulDB • 2026-05-30
Craft Commerce 是用于 Craft CMS 的电子商务平台。在 4.0.0 至 4.10.2 以及 5.0.0 至 5.5.4 版本中，Commerce TotalRevenue 小部件存在 SQL 注入漏洞，允许任何经过身份验证的控制面板用户通过四步利用链实现远程代码执行（RCE）。该攻击利用未经验证的小部件设置被插入到 SQL 表达式中，并结合 PDO 默认的多个语句查询支持，将恶意序列化的 PHP 对象注入到队列表中。当队列消费者处理注入的作业时，yii2-queue 中无限制的 unserialize() 调用会实例化一个 GuzzleHttp FileCookieJar 利用链，其 __destruct() 方法将 PHP Webshell 写入服务器的 Web 根目录。完整的利用链仅需三个 HTTP 请求，无需管理员权限，并以 PHP 进程用户身份执行任意命令，队列处理通过未认证的端点触发。此问题已在 4.10.3 和 5.5.5 版本中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.