Podatności Craft CMS

Craft CMS w wersjach od 5.7.0 do przed 5.10.12 zawiera podatność na ujawnienie informacji w AssetsController::actionMoveInfo, która nie egzekwuje uprawnień do woluminów. Uwierzytelnieni użytkownicy panelu sterowania mogą wysyłać żądania POST do punktu końcowego assets/move-info z dowolnymi folderIds, aby uzyskać liczbę zasobów i całkowity rozmiar przechowywania dla woluminów, do których nie mają dostępu.

Craft CMS przed wersją 5.10.11 nie weryfikuje statusu administratora w punkcie końcowym actionGetPasswordResetUrl, co pozwala użytkownikom niebędącym administratorami z uprawnieniem administrateUsers na generowanie linków resetowania hasła dla kont administratorów. Atakujący może ustawić nowe hasło dla administratora i przejąć panel kontrolny.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 zawiera brak autoryzacji w AssetsController::actionReplaceFile. Gdy żądanie podaje sourceAssetId i targetFilename bez assetId, uprawnienie replacePeerFiles nie jest egzekwowane, co pozwala autoryzowanemu autorowi z uprawnieniem replaceFiles na nadpisanie plików innych użytkowników w tym samym folderze.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie wykonuje niezależnej kontroli autoryzacji w ElementsController::actionDeleteForSite. Metoda sprawdza uprawnienia tylko dla własnego szkicu użytkownika, a następnie usuwa kanoniczny element bez ponownej weryfikacji, co pozwala uwierzytelnionemu użytkownikowi bez uprawnienia deleteEntriesForSite na trwałe usunięcie wpisów.

Craft CMS przed wersją 5.10.11 zawiera podatność na obejście autoryzacji w ElementsController::actionDuplicate(), która pozwala uwierzytelnionym użytkownikom z uprawnieniem createEntries na usuwanie cudzych wstępnych wersji roboczych. Atakujący mogą wykorzystać parametr deleteProvisionalDraft, aby usunąć niezapisany szkic innego użytkownika bez odpowiednich kontroli autoryzacji, uzyskując dostęp do treści w trakcie tworzenia.

Craft CMS przed wersją 5.10.11 zawiera podatność obejścia zakresu witryny w resolverach mutacji GraphQL, które nie weryfikują siteId przez ArgumentManager::prepareArguments(). Atakujący z tokenami ograniczonymi do jednej witryny mogą czytać, modyfikować lub usuwać wpisy w innych witrynach.

Craft CMS w wersjach od 5.0.0-RC1 do przed 5.10.11 zawiera podatność na trwały cross-site scripting w polu nazwy witryny, które nie oczyszcza danych wejściowych. Administratorzy mogą wstrzykiwać dowolne skrypty JavaScript w nazwie witryny, które wykonują się, gdy inni użytkownicy przeglądają strony ustawień panelu sterowania.

Craft CMS przed wersją 5.10.11 zawiera podatność na złamaną kontrolę dostępu w punkcie końcowym element-indexes/save-elements, która pozwala użytkownikom panelu sterowania przenosić wpisy do sekcji, których nie mogą edytować. Atakujący z ograniczonymi uprawnieniami do sekcji mogą przenosić lub publikować wpisy w nieautoryzowanych sekcjach, nadpisując atrybut sectionId po wstępnych kontrolach autoryzacji, omijając walidację uprawnień sekcji docelowej.

Craft CMS w wersji 5.9.5 i wcześniejszych zawiera lukę w autoryzacji w punkcie końcowym migracji (/actions/app/migrate).

Craft CMS od wersji 5.0.0 przed 5.11.0 zawiera podatność obejścia autoryzacji, która pozwala tokenom GraphQL ograniczonym do jednej witryny modyfikować treść innych witryn, ponieważ requireAllowedSite() nie jest egzekwowane. Atakujący posiadający token witryny A może tworzyć wpisy w witrynie B poprzez podanie siteId oraz usuwać wpisy, kategorie, tagi i zasoby współdzielone między witrynami.

Craft CMS przed wersją 5.10.11 nie waliduje flagi administratora podczas rejestracji użytkownika, co pozwala na jej utrzymanie z dezaktywowanych kont administratora. Atakujący mogą zarejestrować się przy użyciu adresu e-mail dezaktywowanego administratora, aby odziedziczyć uprawnienia administratora, gdy włączona jest publiczna rejestracja i wyłączona weryfikacja e-maila.

Craft to platforma do tworzenia cyfrowych doświadczeń. W wersjach 5.0.0-RC1 do 5.8.20 oraz 3.0.0 do 4.16.16 nieuwierzytelnieni użytkownicy mogą wywołać operacje tworzenia kopii zapasowych bazy danych poprzez określone akcje administracyjne, co może prowadzić do wyczerpania zasobów lub ujawnienia informacji. Użytkownicy powinni zaktualizować do wersji z poprawką (5.8.21 i 4.16.17). Użytkownicy Craft 3 powinni zaktualizować do najnowszych wersji Craft 4 i 5, które zawierają poprawki.

Craft CMS pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania przesłać warunek wyszukiwania elementów, którego selektor jest oceniany jako szablon obiektu Twig w piaskownicy; filtr kolumn deleguje wyszukiwanie właściwości do Yii ArrayHelper poza SecurityPolicy Twig, co pozwala obejść piaskownicę i odzyskać GeneralConfig::securityKey, a następnie sfałszować podpisane parametry i wywołać natywne funkcje PHP.

Akcja app/process-api-response-headers przyjmuje fałszywe nagłówki odpowiedzi API Craft od każdego uwierzytelnionego użytkownika panelu; użytkownik z uprawnieniem accessCp może wstawić znaki nowej linii do X-Craft-Plugin-Licenses, co pozwala wstrzyknąć nowy znany atakującemu CRAFT_SECURITY_KEY do .env i sfałszować podpisany redirect z wywołaniem system() w Twig.

Craft CMS 4.x przed 4.18.8 i 5.x przed 5.11.0 zawiera obejście listy blokad w funkcji Twig create(), ponieważ sprawdzanie nazw klas jest wrażliwe na wielkość liter, a rozwiązywanie klas w PHP nie. Atakujący z prawem do wykonywania szablonów, np. administratorzy panelu sterowania, mogą utworzyć SplFileObject przez nazwę klasy zapisaną małymi literami, aby odczytać sekrety z .env lub zapisać plik PHP w katalogu webroot i uzyskać zdalne wykonanie kodu.

Craft CMS od wersji 5.0.0 przed 5.11.0 zawiera lukę obejścia uwierzytelniania pozwalającą atakującym ponownie użyć kodów weryfikacyjnych, ponieważ users/verify-email nie unieważnia ich dla aktywnych użytkowników. Atakujący, który uzyska wysłany e-mailem kod ofiary, może przesłać go do users/set-password po weryfikacji zmiany adresu e-mail przez ofiarę, resetując hasło i przejmując konto.

Craft CMS w wersjach od 5.8.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony administrator może wstrzyknąć zachowania Yii, dostarczając układ pól w formacie JSON do ContentBlock::setFieldLayout(), a klucze 'as X' lub 'on X' omijają cleanseConfig().

Craft CMS w wersjach od 5.0.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony użytkownik Panelu Sterowania może wyjść z piaskownicy Twig, przekazując nieoczyszczone kryteria do getNext, getPrev lub getOwners i wstrzykując klucze konfiguracyjne Yii 'as' lub 'on'.

Craft CMS w wersjach od 5.0.0 przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu. Uwierzytelniony użytkownik Panelu Sterowania może wyjść z piaskownicy Twig poprzez transformacje Asset::getMimeType, dostarczając klucze 'as' lub 'on' przekazywane bez filtrowania do Craft::createObject.

W Craft CMS od wersji 4.0.0 przed 4.18.8 i od 5.0.0 przed 5.11.0 występuje obejście listy dozwolonych sandboxa Twig, ponieważ filtry column, contains, filterByValue, index, where i multisort rozwiązują klucze dostarczone przez wywołującego za pomocą ArrayHelper::getValue() bez konsultacji z polityką bezpieczeństwa sandboxa. Uwierzytelnieni użytkownicy Panelu Sterowania mogą dostarczyć klucze ścieżek kropkowych, aby przejść przez globalny obiekt craft i ujawnić securityKey, dane uwierzytelniające bazy danych i tokeny uwierzytelniania.

Craft CMS 4.x przed 4.18.8 oraz 5.x przed 5.11.0 zawiera podatność umożliwiającą zdalne wykonanie kodu w filtrze grupy Twig. Filtr wywołuje niebędące ciągami argumenty strzałkowe jako wywoływalne bez zabezpieczenia checkArrow, co pozwala uwierzytelnionym użytkownikom przekazać tablicę wywoływalną, np. FileHelper::writeToFile.

Craft CMS w wersjach 4.0.0 do 4.18.7 oraz 5.0.0 do 5.10.14 przekazuje surowy parametr 'updates' w AppController::actionCacheUpdates do UpdatesModel bez użycia Component::cleanseConfig(), co pozwala na wstrzyknięcie zachowań i handlerów zdarzeń. Zautentykowani użytkownicy panelu z uprawnieniami performUpdates lub dostępem do narzędzia Updates mogą podać klucze 'as' lub 'on', takie jak gadżet AttributeTypecastBehavior, aby wykonać dowolny kod.

Craft CMS w wersjach od 5.0.0 do 5.10.14 (przed 5.10.14) zawiera podatność na DOM-based XSS w przepływie logowania i weryfikacji 2FA w panelu administracyjnym, gdzie kontrolowany przez użytkownika returnUrl akceptujący adresy javascript: jest używany w nawigacji po stronie klienta. Atakujący może nakłonić ofiarę z włączonym 2FA do otwarcia spreparowanego adresu /admin/login?verify=1 pomiędzy podaniem hasła a weryfikacją TOTP, wykonując JavaScript w uwierzytelnionym panelu administracyjnym z uprawnieniami ofiary.

Craft CMS od wersji 5.0.0 do 5.10.14 (przed 5.10.14) zawiera brak autoryzacji w metodzie AppController::actionSwitchToLicensedEdition(), co pozwala każdemu uwierzytelnionemu użytkownikowi na zmianę zainstalowanej edycji. Użytkownicy front-end z niskimi uprawnieniami mogą wywołać tę akcję, gdy licencjonowana edycja się nie zgadza, trwale obniżając edycję witryny w konfiguracji projektu, czego administratorzy nie mogą cofnąć z panelu administracyjnego.

Craft CMS w wersjach od 5.10.2 do 5.10.14 zawiera podatność na ominięcie piaskownicy Twig, która pozwala nieadministracyjnym użytkownikom na wywoływanie callable PHP przez operatory "has some" i "has every". Użytkownicy z uprawnieniami System Messages mogą podać dwuargumentowe callable, takie jak passthru lub system, w szablonach w piaskownicy, aby wykonać kod jako użytkownik webowy.

Craft CMS w wersjach od 4.0.0 do 4.18.7 oraz od 5.0.0 do 5.10.14 zawiera podatność na dowolny odczyt plików, ponieważ lista zablokowanych klas w funkcji Twig create() nie obejmuje klasy DOMDocument. Atakujący, którzy mogą ustawić format tytułu typu wpisu (np. przez project-config/apply), mogą użyć create('DOMDocument').loadHTMLFile() z textContent, aby ujawnić zawartość lokalnych plików użytkownikom niebędącym administratorami, którzy mogą przeglądać wpisy.

Craft CMS 5.10.13.2 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w panelu sterowania (akcja app/render-components). Uwierzytelniony użytkownik z podstawowym dostępem do panelu może przesłać kontrolowane klasy komponentów i nadpisać właściwości, co prowadzi do wykonania dowolnego kodu Twig, a następnie poleceń systemowych.

Craft CMS od wersji 5.0.0-RC1 do przed 5.11.0 nieprawidłowo autoryzuje pola GraphQL draftCreator i revisionCreator. Zamiast wymagać zakresu user-data egzekwowanego przez Gql::canQueryUsers(), pola te są ograniczone tylko do zakresów elements.drafts:read / elements.revisions:read, a ich resolver zwraca surowy element User bez autoryzacji poszczególnych pól. Klient z tylko tymi zakresami może uzyskać adresy e-mail, nazwy użytkowników, pełne nazwiska i adresy pocztowe wszystkich twórców wersji roboczych i rewizji. Problem naprawiono w wersji 5.11.0.

Craft CMS w wersjach 5.10.0–5.10.12 zawiera niekompletną poprawkę CVE-2026-55794 — sink Controller::getPostedRedirectUrl() -> View::renderObjectTemplate() pozostał bez sandboxa, a ten sam commit dodał oracle do samodzielnego podpisywania w Cp::elementLabelHtml(). Ponieważ tokeny HMAC Craft/Yii nie są powiązane z nazwą parametru, uwierzytelniony użytkownik panelu o niskich uprawnieniach z prawem edycji jednego typu elementu może wygenerować token dla kontrolowanego przez atakującego szablonu Twig dla parametru returnUrl i odtworzyć go jako parametr POST przekierowania, osiągając niesandboxowany sink i wstrzyknięcie szablonu po stronie serwera, co prowadzi do wykonania dowolnego kodu PHP. Problem naprawiono w wersji 5.10.13.

Craft CMS w wersjach 4.8.0–4.18.5 oraz 5.0.0–5.10.12 podpisuje kontrolowany przez atakującego cookie license-shun uwierzytelnionego użytkownika tym samym kluczem i formatem, których używa do walidacji podpisanych parametrów przekierowania, ponieważ podpis HMAC nie jest powiązany z celem (cookieValidationKey Yii pochodzi z tego samego securityKey Craft używanego dla podpisanych parametrów żądania). Uwierzytelniony użytkownik niebędący administratorem może ustawić cookie przez endpoint license-shun i przenieść podpisaną kopertę do parametru przekierowania; po udanym logowaniu Craft waliduje podpis i renderuje uwierzytelnione bajty jako niesandboxowany szablon Twig, gdzie filtr map akceptuje callback tekstowy i pozwala PHP system() wykonać dowolne polecenia systemu operacyjnego jako użytkownik serwera WWW. Eksploatacja wymaga konta z uwierzytelnianiem hasłem bez aktywnego 2FA, domyślnej konfiguracji żądań i dostępności PHP system(). Problem naprawiono w wersjach 4.18.6 i 5.10.13.

Craft CMS w wersjach od 5.0.0 do 5.10.12 traktuje awarię połączenia z bazą danych jako brak instalacji, co udostępnia anonimowe akcje instalatora (m.in. install/validate-site) na zainstalowanej stronie produkcyjnej, gdy PHP działa, ale MySQL jest niedostępny. Uwierzytelniony atakujący z ważną sesją gościa i tokenem CSRF może odczytać wartości zmiennych środowiskowych, w tym klucz bezpieczeństwa, dane dostępowe do bazy czy klucze API. Naprawiono w wersji 5.10.13.

Craft CMS w wersjach od 5.7.0 do 5.10.13 zawiera podatność typu stored XSS w funkcji Generated Fields, która wyłącza automatyczne escapowanie Twig i nie koduje wartości z pamięci podręcznej. Redaktorzy treści mogą wstrzykiwać złośliwy JavaScript przez edytowalne pola, który wykonuje się w sesjach uwierzytelnionych użytkowników Panelu sterowania o wyższych uprawnieniach. Naprawiono w wersji 5.10.13.

Craft CMS 5.0.0 do 5.10.12 zawiera wadę kontroli dostępu w punkcie końcowym zmiany kolejności zagnieżdżonych elementów. Uwierzytelniony użytkownik z uprawnieniami tylko do podglądu może zmienić kolejność bloków Matrix lub pól Address w treści innego autora, do której nie ma uprawnień zapisu.

Zdalny, uwierzytelniony użytkownik panelu administracyjnego Craft CMS bez uprawnień administratora, posiadający jedynie uprawnienie accessCp, może wykonywać polecenia systemu operacyjnego jako proces roboczy PHP.

Craft CMS przed wersją 5.10.12 zawiera podatność na zdalne wykonanie kodu w punkcie końcowym element-index, która pozwala uwierzytelnionym edytorom treści na tworzenie dowolnych klas poprzez parametr criteria. Atakujący mogą wstrzyknąć złośliwą klasę przez criteria[withTransforms][0][class], która dociera do ImageTransforms::normalizeTransform(), a następnie użyć łańcucha gadżetów PHP z yii\rbac\PhpManager do wykonania kodu, wskazując itemFile na log żądania zawierający ładunek PHP w nagłówku User-Agent.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.11 nie posiada zabezpieczenia wymaganego dla działań administracyjnych w UsersController::actionActivateUser (akcja users/activate-user). Mimo że akcja wymaga uprawnienia administrateUsers, nie wywołuje requireAdmin(), gdy docelowy użytkownik jest administratorem, w przeciwieństwie do lustrzanej akcji actionDeactivateUser. W rezultacie uwierzytelniony użytkownik panelu sterowania, który nie jest administratorem, ale posiada uprawnienie administrateUsers, może aktywować oczekujące lub celowo dezaktywowane konto administratora, co może prowadzić do eskalacji uprawnień w połączeniu z resetowaniem hasła tego konta. Problem został naprawiony w Craft CMS 5.10.12.

Craft CMS przed wersją 5.10.12 nieprawidłowo oczyszcza elementy układu pól typu string, co pozwala uwierzytelnionym użytkownikom panelu administracyjnego na wstrzykiwanie załączników zachowań Yii2 i procedur obsługi zdarzeń. Atakujący mogą wysyłać elementy zakładek układu pól jako ciągi JSON, aby ominąć walidację oczyszczania, a następnie wywołać dowolną instancję obiektu i wykonanie kodu przez Craft::createObject().

Podatność w Craft CMS, gdzie resolwery mutacji GraphQL (saveEntry, deleteEntry) odczytują siteId bezpośrednio z argumentów, bez wywołania ArgumentManager::prepareArguments(), co omija filtrowanie zakresu witryny. Atakujący z tokenem ograniczonym do witryny A może tworzyć, modyfikować lub usuwać wpisy w witrynie B.

Podatność w Craft CMS, gdzie resolwery mutacji GraphQL (saveEntry, deleteEntry) odczytują siteId bezpośrednio z argumentów, bez wywołania ArgumentManager::prepareArguments(), co omija filtrowanie zakresu witryny. Atakujący z tokenem ograniczonym do witryny A może tworzyć, modyfikować lub usuwać wpisy w witrynie B.

Craft CMS przed wersją 5.11.0 nie egzekwuje filtrów zakresu grup użytkowników na natywnych relacjach GraphQL użytkowników, w tym pól author, authors, uploader, draftCreator i revisionCreator. Atakujący z tokenem GraphQL o ograniczonym zakresie mogą odpytywać te relacje, aby odczytać nazwy użytkowników, adresy e-mail i pełne nazwy dowolnego autora lub przesyłającego treści, w tym administratorów.

Craft CMS przed wersją 5.10.11 nie sprawdza autoryzacji w punkcie końcowym assets/move-asset, gdy podano force=1. Uwierzytelnieni użytkownicy bez uprawnień do zasobów innych użytkowników mogą przenosić własne zasoby do folderów innych użytkowników i wymuszać usuwanie konfliktowych plików.

Mechanizm sandboxa Twig w Craft CMS jest skonfigurowany tak, aby umożliwiał dostęp do niebezpiecznych funkcji z frameworka Yii, co prowadzi do uwierzytelnionego zdalnego wykonania kodu (RCE), podobnie jak w przypadku wcześniej ujawnionych podatności.

Craft CMS w wersjach od 4.0.0-RC1 przed 4.18.2 oraz od 5.0.0-RC1 przed 5.10.6 zawiera uwierzytelnioną podatność zdalnego wykonania kodu w obsłudze warunków wyszukiwania elementów w panelu sterowania. Obejście czyszczenia JSON w condition.config pozwala na interpretację kluczy konfiguracji zachowania/zdarzeń Yii po dekodowaniu, umożliwiając wykonanie poleceń jako użytkownik PHP/web.

Craft CMS przed wersją 5.10.8 zawiera podatność na trwały cross-site scripting (XSS) w panelu sterowania, gdzie nazwy wersji roboczych są renderowane bez kodowania HTML w chipach i kartach elementów. Użytkownik z niskimi uprawnieniami, który może tworzyć wersje robocze elementów, może wstrzyknąć złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika z wyższymi uprawnieniami przeglądającego dany element, umożliwiając tworzenie kont i inne uwierzytelnione działania.

Craft CMS przed wersją 5.10.8 zawiera podatność na obejście uwierzytelniania w akcji elements/save, która umożliwia uwierzytelnionym użytkownikom zmianę haseł bez weryfikacji. Atakujący z uprawnieniami do edycji użytkowników mogą zresetować hasło dowolnego użytkownika, w tym administratorów, wykorzystując niechronione pole newPassword w przepływie zapisu elementu User.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.5 zawiera podatność nieprawidłowej autoryzacji. Użytkownik panelu sterowania posiadający tylko uprawnienie viewCategories (bez saveCategories) dla grupy kategorii może trwale zmodyfikować strukturę kategorii w tej grupie — zmieniając kolejność i rodziców kategorii — za pomocą akcji structures/move-element. Flaga structureEditable jest obliczana na podstawie uprawnienia do przeglądania, a nie zapisu, a StructuresController autoryzuje mutującą akcję na podstawie sesyjnego uprawnienia do odczytu bez ponownego sprawdzenia zapisu. Ponieważ URI kategorii jest wyprowadzany z jej pozycji w strukturze, przeniesienie kategorii zmienia jej URL i URL-e jej potomków oraz może uszkodzić menu nawigacyjne zbudowane z taksonomii kategorii. Problem został naprawiony w wersji 5.10.6.

Craft CMS w wersjach >= 5.0.0-RC1 przed 5.10.6 oraz >= 4.0.0-RC1 przed 4.18.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w mutacji GraphQL save<Volume>Asset, która pobiera adres URL dostarczony przez atakującego po stronie serwera. Walidacja anty-SSRF jest niekompletna: validateIp() nie obejmuje zakresów CGNAT (100.64.0.0/10) ani NAT64 (64:ff9b::/96), a jedyne sprawdzenie IP odbywa się po wysłaniu żądania. Atakujący posiadający token GraphQL z uprawnieniami tylko do tworzenia zasobów może ujawnić wewnętrzną zawartość HTTP z celów CGNAT/NAT64, wymusić wychodzące żądania GET do wewnętrznych hostów (w tym RFC1918, loopback i endpointy metadanych) oraz enumerować wewnętrzne usługi.