CVE-2026-92592

Craft CMS 4.8.0 ile 4.18.5 ve 5.0.0 ile 5.10.12 arasındaki sürümler, kimliği doğrulanmış bir kullanıcının saldırgan tarafından kontrol edilen license-shun çerezini, imzalı yönlendirme parametrelerini doğrulamak için kullanılan anahtar ve formatla aynı şekilde imzalar; çünkü HMAC imzası amacına bağlanmamıştır (Yii'nin cookieValidationKey değeri, imzalı istek parametreleri için kullanılan Craft securityKey değerinden türetilmiştir). Kimliği doğrulanmış, yönetici olmayan bir kullanıcı (Kontrol Paneli erişimi gerekmez), license-shun uç noktası aracılığıyla çerezi ayarlayabilir ve imzalı zarfı yönlendirme parametresine aktarabilir; başarılı bir girişte Craft imzayı doğrular ve kimliği doğrulanmış baytları kum havuzu dışı bir Twig şablonu olarak işler; burada Twig'in map filtresi dize tabanlı bir geri çağırma kabul eder ve PHP system()'in web sunucusu kullanıcısı olarak rastgele işletim sistemi komutlarını yürütmesine izin verir. İstismar için aktif 2FA olmadan parola kimlik doğrulaması kullanan bir hesap, varsayılan istek yapılandırması ve PHP system()'in kullanılabilir olması gerekir. Sorun 4.18.6 ve 5.10.13 sürümlerinde düzeltilmiştir.