CVE-2026-55792
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 — wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w Craft CMS pozwala użytkownikom z uprawnieniami do edycji szablonów e-mail na odczyt plików serwera, w tym pliku .env z hasłami i kluczami API. Atakujący może przejąć konto administratora poprzez sfałszowanie tokenów sesji.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych danych (hasła bazy danych, klucze API) oraz możliwości pełnego przejęcia konta administratora, co może prowadzić do całkowitej kompromitacji systemu CMS.
Rekomendacja
Należy natychmiast zaktualizować Craft CMS do wersji 4.18.0 lub 5.10.0, które zawierają poprawkę usuwającą funkcję dataUrl() z listy dozwolonych funkcji Twig.
Oryginalny opis (angielski, źródło NVD)
Craft CMS is a content management system (CMS). In versions starting from 4.0.0-RC1 and prior to 4.18.0, and 5.0.0-RC1 and above, prior to 5.10.0, the dataUrl() Twig function is included in Craft’s Twig sandbox allowlist, allowing any control panel user granted the utility:system-messages permission to embed a file-reading payload into system email templates. When those emails are sent, the server reads the target file and returns its contents as a base64-encoded data URL embedded in the email body. The .env file, which typically contains the database password, CRAFT_SECURITY_KEY, and third-party API keys, passes all of Craft’s existing dataUrl() protection checks and is fully exfiltrated. Obtaining CRAFT_SECURITY_KEY enables an attacker to forge session tokens and escalate to full admin account takeover. This issue has been fixed in versions 4.18.0 and 5.10.0.