CVE-2026-92591

Craft CMS 5.0.0-dan 5.10.12-yə qədər olan versiyalarda verilənlər bazası bağlantısının uğursuz olması Craft-ın quraşdırılmadığı kimi qəbul edilir. Bu, PHP əlçatan olduğu lakin konfiqurasiya edilmiş MySQL son nöqtəsi işləmədikdə, quraşdırılmış istehsalat saytında anonim quraşdırıcı hərəkətlərini — o cümlədən install/validate-site — əlçatan edir. Hərəkət sayt adını qəbul edir, onu Site::getName() vasitəsilə seriyallaşdırır və App::env() istifadə edərək ${NAME} ifadələrini genişləndirir. Kəsmədən əvvəl qonaq sessiya kukisini və uyğun CSRF tokenini əldə etmiş və sessiyası kəsim zamanı etibarlı qalan autentifikasiya olunmamış hücumçu, proqnozlaşdırıla bilən dəyişən adını (məsələn, Craft-ın standart CRAFT_SECURITY_KEY dəyişənini) göndərə və onun dəyərini ala bilər ki, bu da Craft gizli məlumatlarının, proses mühit dəyişənlərinin, $_SERVER yazılarını və ya təhlükəsizlik açarı, verilənlər bazası etibarnamələri və ya API açarları kimi PHP sabitlərini ifşa edir. Problem müstəqil şəkildə baş verən verilənlər bazası kəsimi tələb edir; zəifliyin özü bunu törətmək üçün heç bir yol təmin etmir. 5.10.13 versiyasında düzəldilib.