CVE-2026-92591 in Craft CMS
摘要
由 VulDB • 2026-09-17
Craft CMS 从版本 5.0.0 到 5.10.12，会将数据库连接失败视为 Craft 未安装的标志，这使得在已安装的生产环境中，只要 PHP 可用但配置的 MySQL 端点不可用，匿名安装器操作（包括 install/validate-site）即可被访问。该操作接受站点名称，通过 Site::getName() 对其进行序列化，并使用 App::env() 展开 ${NAME} 表达式。未授权的攻击者如果在数据库中断前获得了访客会话 cookie 和匹配的 CSRF token，并且其会话在中断期间仍然有效，则可以提交一个可预测的变量名（例如 Craft 惯例中的 CRAFT_SECURITY_KEY），并获取其值，从而泄露 Craft 密钥、进程环境变量、$_SERVER 条目或 PHP 常量（如安全密钥、数据库凭据或 API 密钥）。此问题需要独立发生的数据库中断；漏洞本身无法诱导该中断。已在版本 5.10.13 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.