جزئیات آسیب‌پذیری
CVE-2025-46731
craftcms cms
Craft CMS Contains a Potential Remote Code Execution Vulnerability via Twig SSTI
CVSS 4.0
7.3بالا
شرح رسمی (انگلیسی)
Craft is a content management system. Versions of Craft CMS on the 4.x branch prior to 4.14.13 and on the 5.x branch prior to 5.6.16 contains a potential remote code execution vulnerability via Twig SSTI. One must have administrator access and `ALLOW_ADMIN_CHANGES` must be enabled for this to work. Users should update to the patched versions 4.14.13 or 5.6.15 to mitigate the issue.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.3بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| craftcms | cms | >= 4.0.0-RC1, < 4.14.13 | CVEProject cvelistV5 (CNA) |
| craftcms | cms | >= 5.0.0-RC1, < 5.6.15 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/craftcms/cms/security/advisories/GHSA-7c58-g782-9j38 x_refsource_CONFIRM
- https://github.com/craftcms/cms/security/advisories/GHSA-f3cw-hg6r-chfv x_refsource_MISC
- https://craftcms.com/knowledge-base/securing-craft#set-allowAdminChanges-to-false-in-production x_refsource_MISC
- http://github.com/craftcms/cms/pull/17026 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۲/۱۵
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۲/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۱٫۵۴٪
احتمال بهره‌برداری در ۳۰ روز
۷۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-1336Improper Neutralization of Special Elements Used in a Template Engine