CVE-2026-112772
CVE-2026-112772 · Craft CMS 5.0.0 before 5.11.0 RCE via Asset::getMimeType Transform Injection
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Craft CMS from 5.0.0 before 5.11.0 contains a remote code execution vulnerability that allows authenticated Control Panel users to escape the Twig sandbox via Asset::getMimeType transforms. Attackers can supply 'as' or 'on' keys passed unfiltered to Craft::createObject, attaching malicious behaviors or event handlers that execute code as the web user.
CVSS 8.7 · Высокий · EPSS 0,7% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
cms
- Версии
- ≥ 5.0.0, < 5.11.0: Затронуто (semver)
- 5.11.0: Не затронуто (semver)
Обновитесь до 5.11.0