CVE-2026-56382
Açıklama
Craft CMS (composer paketi craftcms/cms) >= 5.5.0 ve <= 5.9.13 sürümleri, Component::cleanseConfig() fonksiyonunu çağırmadan fieldLayoutConfig POST parametresini doğrudan Fields::createLayout() fonksiyonuna ileten FieldsController::actionRenderCardPreview() metodunda bir uzaktan kod çalıştırma zafiyeti içermektedir. Kimliği doğrulanmış bir yönetici kullanıcı, keyfi PHP kodu çalıştırmak ve hassas bilgileri (veritabanı kimlik bilgilerini içeren ortam değişkenleri ve CRAFT_SECURITY_KEY gibi) ifşa etmek için fieldLayoutConfig parametresi aracılığıyla Yii2 olay işleyicilerini (örneğin 'on init' anahtarları) enjekte edebilir. Sorun 5.9.14 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- craftcms/cms5.9.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/cmsPackagist | 5.5.0 ≤ v < 5.9.14 | 5.9.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.