Podatności Craft CMS

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera teoretyczną słabość typu path traversal w funkcji ensurePathIsContained klasy Local file system. Kolejność operacji powoduje, że walidacja ścieżki odbywa się przed normalizacją, co może unieważnić wcześniejsze założenia walidacyjne i potencjalnie umożliwić dostęp do plików poza zamierzonym katalogiem. Producent zaznacza, że problem nie jest bezpośrednio wykorzystywalny i nie odkryto scenariusza ataku; poprawka jest zalecana w celu wzmocnienia bezpieczeństwa.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 interpoluje zmienne środowiskowe i sekrety (poprzez ciągi ${ENV_VAR} w parametrze elementId) do szablonów Twig przed renderowaniem, nawet gdy sandbox Twig jest włączony. Uwierzytelniony atakujący z dostępem do panelu sterowania może wyrenderować złośliwy szablon Twig w sandboxie i, stosując technikę ślepą opartą na błędach, stopniowo wyciekać dowolne zmienne środowiskowe i sekrety. Mogą one zostać wykorzystane do fałszowania sesji (poprzez CRAFT_SECURITY_KEY), eskalacji uprawnień oraz kradzieży poświadczeń bazy danych, SMTP, API lub magazynu blob. Poprawiono w wersjach 5.10.6 i 4.18.2.

Craft CMS w wersjach od 5.0.0-RC1 przed 5.10.7 i od 4.0.0-RC1 przed 4.18.3 zawiera podatność zdalnego wykonania kodu w mechanizmie piaskownicy Twig, która pozwala uwierzytelnionemu atakującemu z dostępem do panelu administracyjnego na wykonanie dowolnego kodu.

Craft CMS przed wersją 5.10.5 nie utrwala zaktualizowanych liczników poświadczeń po walidacji asercji WebAuthn w punkcie logowania passkey. Atakujący mogą odtwarzać przechwycone treści żądań logowania zawierające requestOptions i response, aby tworzyć dodatkowe uwierzytelnione sesje dla kont ofiar.

Craft CMS w wersjach od 5.0.0-RC1 do 5.10.6 oraz od 4.0.0-RC1 do 4.18.2 zawiera podatność na dowolny odczyt plików. Funkcja Twig create() ogranicza tworzenie instancji klas za pomocą listy blokującej zawierającej 5 wpisów, która nie obejmuje SplFileObject, co pozwala uwierzytelnionemu administratorowi (z allowAdminChanges=true) skonfigurować złośliwy format tytułu lub URI wpisu, który tworzy instancję SplFileObject w kontekście szablonu bez sandboxa. Gdy użytkownik następnie utworzy wpis w dotkniętej sekcji, dowolne pliki na serwerze (takie jak .env zawierający klucz bezpieczeństwa i poświadczenia bazy danych) są odczytywane i renderowane jako tytuły wpisów.

Craft CMS w wersjach od 4.0.0-RC1 przed 4.18.2 i od 5.0.0-RC1 przed 5.10.6 zawiera podatność uwierzytelnionego zdalnego wykonania kodu w obsłudze warunków wyszukiwania elementów panelu administracyjnego, która pozwala na wykonanie poleceń systemu operacyjnego.

W Craft CMS do wersji 4.18.0.1 wykryto podatność w endpointcie Charts. Funkcja actionGetNewUsersData w pliku ChartsController.php nieprawidłowo autoryzuje dostęp przez argument userGroupId, co umożliwia nieautoryzowane działanie. Atak może być przeprowadzony zdalnie.

W Craft CMS do wersji 4.18.0.1 wykryto podatność w funkcji actionReorderSets w pliku GlobalsController.php. Manipulacja parametrami endpointu reorder-sets prowadzi do obejścia autoryzacji.

Craft CMS w wersjach od 5.0.0-RC1 do 5.9.21 oraz od 4.0.0-RC1 do 4.17.14 zawiera podatność autoryzacyjną, która umożliwia wymuszone przeniesienie folderu i usunięcie kolidującego folderu docelowego bez wymaganych uprawnień do jego usunięcia. Problem dotyczy funkcji actionMoveFolder() w kontrolerze AssetsController.

Craft CMS w wersjach od 5.7.0 do 5.9.20 zawiera podatność na masowe przypisanie atrybutów w akcji masowego duplikowania elementów. Atakujący, który może duplikować własne wpisy, może przesłać dowolne id przez parametr newAttributes, co prowadzi do nadpisania istniejącego wpisu ofiary.

Craft CMS w wersjach od 5.9.0 do 5.10.0 zawiera podatność, która pozwala użytkownikom panelu administracyjnego z uprawnieniami do edycji wpisów na wykonanie niesandboxowanego kodu Twig poprzez nagłówek HTTP Referrer. Problem występuje podczas zapisywania wpisów, gdy ciąg znaków dla podpisanego adresu URL przekierowania jest kompilowany jako szablon Twig bez użycia sandboxa, co może prowadzić do zdalnego wykonania kodu (RCE) po uwierzytelnieniu.

Podatność w Craft CMS pozwala użytkownikom z uprawnieniami do edycji szablonów e-mail na odczyt plików serwera, w tym pliku .env z hasłami i kluczami API. Atakujący może przejąć konto administratora poprzez sfałszowanie tokenów sesji.

Craft CMS w wersjach od 4.0.0-RC1 do 4.18.0 oraz od 5.0.0-RC1 do 5.10.0 jest podatny na SSRF i wstrzykiwanie dowolnego kodu JavaScript przez endpoint /actions/app/resource-js. Atakujący może manipulować nagłówkami Host lub X-Forwarded-Host, aby ominąć walidację URL i zmusić klienta Guzzle do pobrania złośliwego ładunku z zewnętrznego serwera.

W Craft CMS w wersjach od 5.0.0-RC1 do 5.9.20 stwierdzono podatność polegającą na nieprawidłowej autoryzacji w endpointzie EntriesController::actionMoveToSection(). Uwierzytelniony użytkownik z niskimi uprawnieniami może przenieść wpis do sekcji, do której ma tylko dostęp do odczytu, bez wymaganych uprawnień zapisu, co narusza model autoryzacji na poziomie sekcji.

W Craft CMS w wersjach od 5.0.0-RC1 do 5.9.20 występuje podatność polegająca na ominięciu kontroli uprawnień przy zapisywaniu wpisów. Niskouprzywilejowany użytkownik może zmienić autora wpisu na innego użytkownika bez wymaganych uprawnień, co prowadzi do fałszowania autorstwa.

W systemie CMS Craft w wersjach 5.0.0-RC1 do 5.9.22 oraz 4.0.0-RC1 do 4.17.15 wykryto podatność na atak XSS. Atakujący posiadający jedynie konto GitHub może umieścić złośliwy kod JavaScript w tytule zgłoszenia (issue) w repozytorium craftcms/cms. Gdy administrator Craft użyje widżetu CraftSupport i wyszuka frazę zwracającą to zainfekowane zgłoszenie, kod wykonuje się w sesji panelu administracyjnego.

W Craft CMS w wersjach 5.0.0-RC1 do 5.9.21 oraz 4.0.0-RC1 do 4.17.14, funkcja usuwania folderów nie sprawdza uprawnień do usuwania zasobów innych użytkowników. Użytkownik z niskimi uprawnieniami może usunąć foldery i wszystkie znajdujące się w nich zasoby, w tym należące do innych użytkowników.

W systemie CMS Craft wykryto podatność w kontrolerze AssetsController::actionReplaceFile, która umożliwia uwierzytelnionemu użytkownikowi usunięcie zasobu bez wymaganych uprawnień do usuwania. Problem występuje w wersjach 5.0.0-RC1 do 5.9.20 oraz 4.0.0-RC1 do 4.17.13.

W Craft CMS w wersjach od 5.0.0-RC1 do 5.9.22 użytkownik z rolą autora może wstrzyknąć złośliwy kod JavaScript w tytule wpisu. Gdy administrator przeciągnie inny wpis pod zatruty wpis w widoku tabeli, kod wykonuje się w sesji ofiary.

Craft CMS w wersji 4.0.0-RC1 zawiera podatność na przejście ścieżki weryfikacji uwierzytelnionej w punkcie końcowym assets/icon, gdzie parametr rozszerzenia nie jest weryfikowany przed sprawdzeniem istnienia pliku. Atakujący mogą obejść walidację rozszerzenia, przekazując sekwencje przejścia, które prowadzą do istniejących plików SVG, co umożliwia dostęp do lokalnych plików.

Craft CMS w wersjach 4.x (>= 4.0.0-RC1, < 4.17.0-beta.1) oraz 5.x (>= 5.0.0-RC1, < 5.9.0-beta.1) zawiera wiele podatności na przechowywane ataki typu cross-site scripting, gdzie nazwy ustawień i etykiety opcji pól są renderowane bez sanitizacji. Uwierzytelniony administrator może wstrzykiwać złośliwe ładunki do nazw sekcji, nazw woluminów, nazw grup użytkowników, nazw zestawów globalnych, generowanych nazw pól, etykiet opcji checkbox/radio oraz etykiet źródłowych, co prowadzi do wykonania dowolnego JavaScriptu w sesjach panelu kontrolnego innych użytkowników.

W wersjach Craft CMS >= 5.0.0-RC1, <= 5.9.13 oraz >= 4.0.0-RC1, <= 4.17.7 występuje luka w autoryzacji w punkcie końcowym assets/preview-file. Luka ta pozwala na ominięcie autoryzacji przeglądania zasobów przez użytkowników o niskich uprawnieniach.

Craft CMS zawiera lukę w autoryzacji w punkcie końcowym assets/preview-thumb. Użytkownik Panelu Sterowania bez uprawnień do przeglądania prywatnego zasobu może wywołać ten punkt końcowy z kontrolowanym przez atakującego assetId i otrzymać HTML podglądu zawierający podpisany link do podglądu transformacji prywatnego zasobu.

Craft CMS od wersji 5.0.0-RC1 zawiera podatność na przechowywane ataki typu cross-site scripting na stronie uprawnień użytkowników, gdzie nazwy grup użytkowników są renderowane bez odpowiedniego zabezpieczenia HTML. Atakujący z dostępem administratora mogą wstrzykiwać dowolny kod JavaScript przez pole nazwy grupy użytkowników, który wykonuje się, gdy inni użytkownicy przeglądają lub edytują uprawnienia.

Craft CMS przed wersją 5.9.18 ma podatność w AssetsController::actionShowInFolder(), która pozwala na pobranie nazwy pliku i pełnej hierarchii folderów zasobu bez sprawdzania uprawnień użytkownika. Każdy uwierzytelniony użytkownik CP, nawet bez uprawnień do woluminów, może enumerować nazwy plików zasobów i strukturę folderów.

Craft CMS zawiera lukę w obsłudze wejścia, która pozwala uwierzytelnionym użytkownikom na wstrzykiwanie złośliwej konfiguracji i wykonywanie dowolnych poleceń na serwerze. Problem dotyczy wersji od 4.0.0 do przed 4.17.12 oraz 5.9.18.

Craft CMS ma podatność, która pozwala na odczytanie danych adresowych przez użytkowników z niskimi uprawnieniami. Problem dotyczy braku filtrowania zakresu schematu w zapytaniach GraphQL, co umożliwia dostęp do danych osobowych użytkowników z innych grup.

Craft CMS to system zarządzania treścią. W wersjach 4.x do 4.17.8 i 5.x do 5.9.14 endpoint resource-js pozwala nieuwierzytelnionym żądaniom na proxy zdalnych zasobów JavaScript. Gdy trustedHosts nie jest wyraźnie ograniczone, aplikacja ufa nagłówkowi Host dostarczonemu przez klienta, co pozwala atakującemu kontrolować baseUrl i prowadzić do SSRF.

Craft CMS w wersjach 4.x do 4.17.8 oraz 5.x do 5.9.14 jest podatny na Server-Side Request Forgery (SSRF). Wykorzystanie wymaga włączenia w schemacie GraphQL uprawnień 'Edit assets in the <VolumeName> volume' i 'Create assets in the <VolumeName> volume'. Wersje 4.17.9 i 5.9.15 naprawiają problem.

Craft CMS to system zarządzania treścią. W wersjach od 5.6.0 do 5.9.14 endpoint actionSavePermissions() pozwala użytkownikowi z uprawnieniem jedynie viewUsers usuwać dowolnych użytkowników ze wszystkich grup. Podczas gdy _saveUserGroups() wymusza autoryzację dla dodawania, nie sprawdza jej przy usuwaniu, więc przesłanie pustej wartości groups usuwa wszystkie członkostwa w grupach. Wersja 5.9.15 zawiera poprawkę.

Craft CMS przed wersjami 4.17.3 i 5.9.7 ma podatność CSRF w punkcie końcowym /actions/preview/create-token. Atakujący może zmusić zalogowanego edytora do wygenerowania tokenu podglądu, który następnie może być użyty do dostępu do nieopublikowanych treści.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) po uwierzytelnieniu, poprzez złośliwie załączony Behavior. Atak wymaga dostępu administratora do panelu sterowania Craft.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 oraz 4.0.0-RC1 do 4.16.16 jest podatny na zdalne wykonanie kodu (RCE) poprzez atak SSTI w silniku szablonów Twig. Luka wymaga uwierzytelnienia i dostępu administratora do panelu sterowania (przy włączonej opcji allowAdminChanges) lub konta niebędącego administratorem z dostępem do narzędzia System Messages. Atakujący może wykorzystać filtr `map` w polach tekstowych akceptujących kod Twig, co prowadzi do wykonania złośliwego kodu.

Craft CMS w wersjach 5.0.0-RC1 do 5.8.20 i 4.0.0-RC1 do 4.16.16 ma podatność SSRF w mutacji GraphQL `save_<VolumeName>_Asset`. Parametr `url` w inpucie `_file` pozwala na pobieranie treści z dowolnych zdalnych lokalizacji bez walidacji, co może prowadzić do ujawnienia danych i naruszenia infrastruktury.

Craft to system zarządzania treścią (CMS) umożliwiający tworzenie niestandardowych doświadczeń cyfrowych. Ominięcie funkcji validatePath może prowadzić do zdalnego wykonania kodu, co stwarza ryzyko przejęcia kontroli nad podatnymi systemami.

Craft CMS w wersjach do 4.4.9 jest podatny na wstrzykiwanie HTML.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Źle sformatowany kanał RSS może dostarczyć ładunek XSS. Problem został naprawiony w wersji 4.4.6.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych. Występuje podatność na atak typu cross-site scripting (XSS), która może być wywołana przez wolumeny recenzji. Problem został naprawiony w wersji 4.4.7.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Platforma nie filtruje danych wejściowych i nie koduje danych wyjściowych w komunikacie o błędzie walidacji Quick Post, co może prowadzić do ataku XSS.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Wykryto podatność na atak typu cross-site scripting (XSS), która może być wywołana za pomocą narzędzia Update Asset Index. Problem został naprawiony w wersji 4.4.6.

Craft CMS w wersji 4.2.0.1 zawiera podatność na atak XSS (Cross-Site Scripting) poprzez funkcję Drafts. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.